경찰이 서울시 공공자전거 ‘따릉이’ 애플리케이션에서 450만건 이상의 회원 정보가 유출된 사건과 관련해 피의자 2명을 입건, 불구속 상태로 수사 중이라고 밝혔다.

박정보 서울경찰청장은 9일 기자간담회에서 “따릉이 개인정보 유출 관련 피의자 2명을 특정했다”고 밝혔다. 박 청장은 이어 “압수물 분석을 통해 공범 1명을 추가로 확인해 체포했다”며 “구속영장도 신청했지만 이는 기각됐다”고 덧붙였다.

경찰은 2년 전 6월 따릉이 앱이 디도스 공격(DDoS, 분산서비스거부)로 추정되는 사이버 공격을 받은 뒤 개인정보 유출 사실을 인지하고 관련 수사를 진행해 왔다. 경찰이 입건한 피의자 중 1명이 사이버 공격을 주도했고, 나머지 1명과 함께 개인정보를 빼낸 것으로 파악했다.
박 청장은 서울시설공단이 개인정보 유출을 인지하고도 2년 가까이 아무런 조처를 하지 않은 점에 대해서도 최근 수사 의뢰를 받았다고 밝혔다. 이에 대해서는 먼저 고발인 조사 이후 수사 방향을 결정하겠다고 덧붙였다.

한편 따릉이 앱의 해킹으로 인해 사용자의 아이디, 휴대전화번호 등 필수 정보 그리고 이메일, 생년월일, 성별, 체중 등 선택 정보가 포함됐을 가능성이 있는 것으로 보고 있다.

따릉이를 관리하는 서울시 산하 서울시설공단은 서버 관리업체인 KT클라우드가 2024년 7월 이미 개인정보 유출 사실을 공단에 보고했지만, 공단은 1년 6개월여 동안 이를 경찰이나 수사기관에 신고하지 않고 아무 조치도 하지 않은 것으로 드러났다.

개인정보 유출이 발생했을 때는 개인정보 보호법에 따라 해당 사실을 인지한 시점으로부터 72시간 내 신고 의무가 있음에도 이를 어긴 것이다. 서울시는 이를 직무유기 및 개인정보 보호법 위반 가능성으로 보고 경찰에 수사를 의뢰했다.