[서울시설공단(따릉이)] 개인정보 유출 피해자 462만명에 30일 이용권 보상_2026년 07월

서울시설공단이 서울 공공자전거 '따릉이' 회원정보 유출 사고 피해자 약 462만명에게 개인별 유출 항목을 확정해 통보하고 30일 정기권(5000원 상당)을 보상으로 지급한다. 2024년 6월 시스템 보안 취약점을 악용한 해킹으로 발생한 사고로, 개인정보 보호법상 손해배상 청구권을 근거로 서울시가 조례를 개정해 보상을 실시하는 것이다.

□  개요 

   2026년 07월 21일 서울시설공단은 따릉이 회원정보 유출 사고와 관련해 경찰청, 개인정보보호위원회와의 협의를 거쳐 개인별 유출 항목을 확정하고, 유출 대상 시민 약 462만명에게 개별 문자(MMS) 및 홈페이지 안내를 시작한다고 밝혔다.
    앞서 경찰청 사이버수사과는 2024년 6월 28일부터 이틀간 따릉이 시스템 보안 취약점을 악용한 외부 공격이 발생한 사실을 확인한 바 있다. 이후 약 2년간의 경찰·개인정보보호위원회 조사와 협의를 거쳐 개인별 실제 유출 항목이 확정됐다.
안내 문자에는 아이디(ID), 휴대전화 번호, 생년월일, 성별, 체중, 이메일, 우편번호, 주소, (미성년 회원의 경우) 보호자의 휴대전화 번호·생년월일·성별 등 개인별 실제 유출 항목과 유출 경위, 피해 예방 수칙이 담긴다. 유출 항목은 가입 시점과 경로에 따라 회원마다 다를 수 있으며, 문자는 하루 약 120만건씩 순차 발송된다. 2024년 6월 이후 전화번호를 변경했거나 문자 수신을 거부한 경우 콜센터나 이메일로 문의하면 유출 항목을 확인할 수 있다.
    공단은 개인정보가 유출된 피해자에게 따릉이 30일 정기권(1시간 이용쿠폰, 5000원 상당)을 일괄 보상으로 지급하며, 보상 쿠폰은 다음 달(8월) 중 따릉이 앱을 통해 지급되고 지급 시점으로부터 3개월 이내에 사용해야 한다. 이미 정기권을 보유한 회원은 기존 이용권 기간이 끝난 뒤 3개월 안에 사용하면 된다.
서울시는 지난 4월 개인정보 유출에 따른 보상이 가능하도록 '자전거 이용 활성화에 관한 조례'를 개정한 바 있다. 개인정보 보호법 제39조의2에 따르면 개인정보처리자의 고의·과실로 개인정보가 유출된 경우 정보주체는 실제 손해를 증명하지 않고도 300만원 이하 범위에서 손해배상을 청구할 수 있는데, 서울시의 이번 조례 개정과 보상도 이 조항에 근거한다.
공단은 사고를 인지한 뒤 서울시와 비상대응센터를 가동해 원인이 된 웹 취약점을 보완하고 이상 접속 모니터링을 강화했다고 밝혔다.

 

□  사고내용 요약  

    1. 회사명(기관명) : 서울시설공단(공공자전거 '따릉이' 운영)
    2. 사고유형
        -  웹 취약점 악용 외부 해킹 사고(2024년 6월 발생)
        -  공공기관 회원 개인정보 대량 유출 사고
        -  (금번 공지) 피해자 통보·보상 조치
    3. 유출규모 : 약 462만명
    4. 유출항목(개인별 상이)
        - 아이디(ID), 휴대전화 번호
        - 생년월일, 성별, 체중
        - 이메일, 우편번호, 주소
        - (미성년 회원) 보호자 휴대전화 번호·생년월일·성별

    5. 특이사항
        - 사고 발생(2024년 6월)부터 개인별 유출 항목 확정 및 통보(2026년 7월)까지 약 2년 소요
        - 경찰청·개인정보보호위원회와의 협의를 거쳐 개인별 실제 유출 항목을 특정해 통보하는 방식 채택
        - 개인정보 보호법 제39조의2(손해배상 청구권)를 근거로 서울시가 조례를 개정해 보상 근거 마련
        - 실제 피해 입증 없이도 유출 자체만으로 보상 대상이 되는 법정 손해배상 제도 활용 사례
        - 안내 문자를 하루 약 120만건씩 순차 발송하는 대규모 통보
        - 보상 규모(30일 정기권, 5000원 상당)의 적정성을 두고 "보상이 지나치게 미미하다"는 비판적 시각도 일부 제기

□  사고대응 타임라인  

    - 2024년 06월 28일~29일
        . 따릉이 시스템 보안 취약점을 악용한 외부 공격 발생
    - 2024년 06월(사고 인지 이후)
        . 서울시설공단, 서울시와 비상대응센터 가동
        . 웹 취약점 보완 및 이상 접속 모니터링 강화
    - 2026년 04월
        . 서울시, '자전거 이용 활성화에 관한 조례' 개정(개인정보 유출 보상 근거 마련)
    - 2026년 07월 21일
        . 경찰청·개인정보보호위원회와의 협의로 개인별 유출 항목 최종 확정
        . 유출 대상 시민 약 462만명 대상 개별 문자(하루 120만건씩 순차 발송) 및 홈페이지 안내 시작
        . 30일 정기권(5000원 상당) 보상 계획 공식 발표
    - 2026년 08월(예정)
        . 따릉이 앱을 통한 보상 쿠폰 지급
        . 지급 시점으로부터 3개월 이내 사용 기한 적용

□  대응내역  

    - 사고 인지 직후 서울시-공단 비상대응센터 가동
    - 원인이 된 웹 취약점 보완
    - 이상 접속 모니터링 강화
    - 경찰청·개인정보보호위원회와 협의해 개인별 유출 항목 확정
    - 피해자 462만명 대상 개별 문자·홈페이지 안내
    - 보상 근거 마련을 위한 조례 개정(2026년 4월)
    - 30일 정기권(5000원 상당) 일괄 보상 지급 결정
    - 문자 미수신자 대상 콜센터·이메일 문의 채널 운영

□ 재발방지대책(권고사항)   

    1. 기술적 조치
       - 공공서비스 웹 취약점 정기 진단 및 상시 점검 체계 구축
       - 이상 접속·대량 조회 탐지를 위한 모니터링 체계 고도화
       - 회원 민감정보(체중, 보호자 정보 등) 암호화 저장 및 접근통제 강화
       - 침입탐지·방지시스템(IDS/IPS) 구축 및 정기 모의해킹 수행
       - 개인정보 최소 수집 원칙에 따른 수집 항목 재검토(체중 등 불필요 항목 정비)

    2. 관리적 조치
       - 침해사고 발생 시 신속한 개인별 유출 항목 확인·통보 프로세스 표준화(장기간 소요 방지)
       - 공공기관 개인정보 유출 사고 대응 매뉴얼 및 비상대응체계 정례 점검
       - 유사 공공서비스 대상 개인정보 유출 시 보상 근거 마련을 위한 조례·규정 정비 확산
       - 유관기관(경찰청·개인정보보호위원회) 협조 체계 강화
       - 피해자 대상 2차 피해(사칭·피싱) 예방 안내 지속

□  관련기사(출처)  

• 따릉이 정보 유출 피해자 462만명에 '30일 이용권' 보상 - 디지털투데이
• 462만명 개인정보 유출 '따릉이'…30일 정기권으로 보상 - 헤럴드경제
• 회원 462만명 개인정보 '탈탈' 털렸는데···"따릉이 30일 정기권 보상" - 경향신문
• '따릉이' 회원 462만명 개인정보 유출···보상은 5000원 정기권 - 서울파이낸스
• '따릉이 개인정보 유출' 피해자 462만 명에 '한달 정기권' 준다 - 뉴데일리

 

감사합니다.