이미지 출처: Pexels
2026년 9월 7일 저녁, 강남언니 이용자들에게 문자와 이메일이 왔습니다. 보낸 곳은 운영사 힐링페이퍼입니다. 사흘 전인 9월 4일에 개인정보가 빠져나갔다는 통지였습니다. 유출된 사람은 21만 9665명입니다.
숫자보다 눈에 걸리는 건 항목입니다. 이름과 전화번호만 샌 게 아닙니다. 어떤 시술을 상담했는지, 어느 병원 어느 의사에게 예약을 잡으려 했는지, 상담하며 올린 사진까지 들어 있습니다. 성형과 피부 시술이라는 예민한 주제라서 이름보다 이 항목들이 문제입니다.
같은 날 티빙은 3954만 계정 유출의 보상 신청을 받기 시작했습니다. 한 주 사이에 큰 유출 두 건이 겹친 셈입니다. 이 글은 2026년 9월 8일 기준으로 힐링페이퍼 공지와 뉴스핌·이데일리·아시아경제 보도를 대조해 썼습니다. 공격 방법은 다루지 않습니다. 이용자가 궁금해할 질문 순서로, 내 항목을 확인하고 뒤따르는 피해를 줄이는 법을 짚겠습니다.
강남언니에서 정확히 무슨 일이 있었나요?
강남언니는 성형·피부 시술 후기와 병원 정보를 모아 보여 주는 앱입니다. 상담과 예약도 여기서 연결됩니다. 운영사는 힐링페이퍼입니다.
회사 설명은 이렇습니다. 9월 4일, 상담 내역을 조회하는 API에 비정상적인 접근이 있었습니다. API는 앱과 서버가 정보를 주고받는 통로를 말합니다. 그 통로로 누군가 상담 기록을 빼 간 것입니다. 다음 날인 9월 5일에도 같은 시도가 확인됐고, 회사는 접근 경로를 막은 뒤 경찰에 수사를 의뢰했습니다.
유출 인원은 한 나라에 몰려 있지 않습니다. 가장 많은 곳은 한국, 약 16만 명. 일본 4만 8000명, 대만 4218명, 태국 1591명, 중국 481명이 뒤를 잇습니다. 영어권과 기타 지역이 5308명입니다. 강남언니가 여러 나라에서 쓰이는 앱이라 유출도 국경을 넘었습니다.
그림 1. 유출 인원을 나라별로 놓았습니다. 한국이 73%, 나머지는 해외 이용자입니다.
내 어떤 정보가 샜나요?
공지에 적힌 항목을 세 묶음으로 나누면 이해가 빠릅니다.
먼저 기본·접속 정보입니다. 이름, 전화번호, 이메일, 생년월일, 성별이 들어갑니다. 사는 나라와 지역, 소셜 로그인 아이디도 포함됩니다. 접속한 IP 주소와 어떤 기기를 썼는지도 샜습니다.
다음은 상담 정보입니다. 어떤 이벤트나 시술을 상담했는지가 들어갑니다. 병원 이름과 의사 이름, 예약을 원한 시간도 포함됩니다. 상담을 신청한 동기와 진행 상태, 그리고 상담을 등록하며 올린 사진까지 유출 대상입니다.
마지막은 시술 정보입니다. 관심을 표시했거나 신청했거나 실제로 받은 시술 내역입니다. 병원에 간 날짜, 시술 일시, 시술한 의사 이름이 여기 속합니다. 결제한 금액과 수단, 결제 시각도 일부 빠져나갔습니다.
그림 2. 유출 항목을 세 칸으로 나눴습니다. 아래 칸으로 갈수록 그 사람만의 정보라 유출의 무게가 다릅니다.
비밀번호나 주민등록번호도 털렸나요?
힐링페이퍼가 공개한 목록에는 로그인 비밀번호가 없습니다. 주민등록번호도 없습니다. 소셜 로그인 아이디는 샜지만, 그 계정의 비밀번호가 샜다는 언급은 없습니다.
다만 "목록에 없다"를 "안전하다"로 읽으면 곤란합니다. 이름·전화번호·이메일이 시술 상담 이력과 한 사람 것으로 묶여 있습니다. 이 정도면 비밀번호가 없어도 그 사람을 속이기에 충분합니다. 왜 그런지 이어서 설명하겠습니다.
이번 유출이 왜 다른 사고보다 위험한가요?
개인정보 유출 뉴스는 자주 나옵니다. 그런데 유출된 정보에도 무게가 다릅니다.
이메일과 전화번호만 샜다면 스팸 문자가 늘어나는 선에서 그칩니다. 이번은 결이 다릅니다. 어떤 시술을 알아봤고 어느 병원에 예약하려 했는지는 남에게 알리고 싶지 않은 정보입니다. 상담 사진은 더 그렇습니다.
법도 이런 정보를 따로 다룹니다. 개인정보 보호법 제23조는 건강에 관한 정보처럼 사생활을 크게 침해할 수 있는 정보를 민감정보로 정하고 있습니다. 시술 상담 기록은 건강 정보에 해당합니다. 사업자는 이 정보를 처리할 때 별도 동의를 받아야 하고, 더 엄격한 안전 조치를 해야 합니다. 그만큼 샜을 때의 타격이 크다는 뜻입니다.
이 정보는 사칭을 정교하게 만듭니다. 낯선 번호가 "고객님"이라고만 하면 대부분 의심합니다. 그런데 "지난번 상담하신 OO 시술 예약이 확정됐습니다"라며 실제 병원과 시술 이름을 대면 어떨까요. 정보가 맞으니 진짜라고 믿게 됩니다. 그 상태에서 결제나 추가 정보를 요구하면 넘어가기 쉽습니다. 유출된 상담 사진이 협박에 쓰일 수 있다는 우려도 나옵니다.
그림 3. 같은 사칭이라도 시술 이력을 알면 문자가 이렇게 달라집니다. 오른쪽 문자는 유출 항목으로 만든 예시입니다.
내가 털렸는지 어떻게 확인하나요?
가장 확실한 창구는 강남언니 자체입니다. 힐링페이퍼는 대상자에게 문자와 이메일로 개별 통지했습니다. 강남언니 홈페이지에서는 본인의 유출 항목을 30일 동안 조회할 수 있습니다. 통지를 받았거나 이 앱을 쓴 적이 있다면 이 조회가 먼저입니다. 내 어떤 항목이 샜는지 정확히 알아야 다음 조치를 정할 수 있습니다.
여기서 한 가지 주의할 점이 있습니다. 유출 통지를 사칭한 문자가 함께 돌 수 있습니다. 진짜 통지는 조회 방법을 안내할 뿐, 링크를 눌러 로그인하거나 결제하라고 요구하지 않습니다. 문자 속 링크 대신 앱이나 공식 홈페이지를 직접 열어 확인하는 편이 안전합니다.
강남언니를 쓴 적이 없더라도 이참에 내 정보가 다른 곳에서 샌 적은 없는지 점검해 두면 좋습니다. 이메일·비밀번호 유출을 확인하는 법은 예전에 내 계정이 털렸는지 확인하는 법에 적어 뒀습니다. 여기서는 강남언니 건에 맞춰 지금 할 일만 추리겠습니다.
지금 당장 뭘 해야 하나요?
유출 항목을 확인했다면 계정부터 잠급니다. 강남언니 비밀번호를 바꾸고, 같은 비밀번호를 쓰던 다른 앱도 함께 바꿉니다. 비밀번호 자체는 유출 목록에 없습니다. 그래도 아이디가 알려진 상태라 재사용하던 비밀번호는 이번에 정리하는 게 안전합니다.
그다음은 2단계 인증입니다. 비밀번호 외에 문자나 앱으로 한 번 더 본인을 확인하는 기능입니다. 소셜 로그인을 썼다면 그 소셜 계정에 켜 두면 됩니다. 카카오·네이버·구글 모두 설정에서 켤 수 있습니다. 이걸 켜 두면 아이디를 알아도 함부로 로그인되지 않습니다.
계정을 잠갔다면 이제 연락을 의심할 차례입니다. 강남언니나 병원을 사칭한 문자·전화·이메일이 올 수 있습니다. 결제 정보나 추가 개인정보를 요구하면 응하지 않습니다. 링크를 눌러 달라는 요청도 마찬가지입니다. 진짜인지 궁금하면 그쪽이 준 번호가 아니라 병원이나 앱의 공식 번호로 직접 확인합니다. 회사도 사칭 안내에 응하지 말라고 당부했습니다.
피해가 의심되면 개인정보 침해 신고 전화 118이 있습니다. 한국인터넷진흥원(KISA)이 운영합니다. 전화 118 또는 개인정보침해 신고센터(privacy.kisa.or.kr)로 접수하면 상담과 신고가 됩니다. 쓰지 않는 사이트에 내 명의로 가입된 흔적을 정리하려면 e프라이버시 클린서비스(eprivacy.go.kr)를 쓰면 됩니다. 본인확인 내역을 조회하고 회원 탈퇴를 신청할 수 있습니다.
그림 4. 조회 창구는 30일 열리지만, 할 일은 첫 주 안에 끝내는 게 좋습니다. 조회 결과 화면은 저장해 두세요.
회사는 뭘 했고, 나는 뭘 요구할 수 있나요?
힐링페이퍼가 한 일은 접근 경로 차단, 경찰 수사 의뢰, 대상자 개별 통지, 30일 조회 창구 개설입니다. 대표 명의의 사과도 있었습니다.
개인정보가 유출된 이용자는 정보주체로서 권리가 있습니다. 사업자가 법에 따른 안전 조치를 다했는지는 개인정보보호위원회가 조사합니다. 유출을 늦지 않게 알렸는지도 함께 봅니다. 이용자는 118 창구로 상담과 피해 구제를 받을 수 있습니다. 사안에 따라 손해배상을 청구하는 길도 있습니다. 이번 사고를 계기로 민감정보 유출에 징벌적 손해배상을 강화하자는 목소리도 나옵니다.
개인이 당장 할 수 있는 일은 정해져 있습니다. 30일 안에 내 항목을 확인하고, 재사용하던 비밀번호를 정리하고, 2단계 인증을 켜는 것. 그리고 사칭 연락에 응하지 않는 것입니다. 이번 건은 상담·시술 정보를 아는 척하는 사칭이 나올 수 있습니다. "내 시술 이력을 이미 알고 있다"는 연락일수록 더 의심하시길 권합니다. 정보가 정확하다는 게 상대가 진짜라는 뜻은 아닙니다.
참고한 자료
- 힐링페이퍼(강남언니) 개인정보 유출 통지·공지 (2026-09-07)
- 뉴스핌, "강남언니, 22만명 개인정보 유출…시술·상담·결제 정보까지 털렸다" (2026-09-07) https://www.newspim.com/news/view/20260907001175
- 이데일리, "시술·사진까지 털렸다…강남언니 22만명 개인정보 유출" (2026-09-07) https://www.edaily.co.kr/News/Read?newsId=04067206645577824
- 개인정보 보호법 제23조(민감정보의 처리 제한) https://www.law.go.kr/법령/개인정보보호법
- KISA 개인정보침해 신고센터 https://privacy.kisa.or.kr · 신고 전화 118
- e프라이버시 클린서비스 https://www.eprivacy.go.kr
- 개인정보보호위원회 https://www.pipc.go.kr
이 글은 2026년 9월 8일 기준 공개된 정보를 바탕으로 합니다. 유출 항목·조회 기간·보상 절차는 회사 공지와 관계 기관 안내에 따라 바뀔 수 있습니다. 정확한 내 유출 내역은 강남언니 공식 조회와 개별 통지로 확인하시기 바랍니다.