서울시 공공자전거 '따릉이' 이용자 약 462만 명의 개인정보가 유출되는 대규모 정보보안 침해 사고가 발생했다. 서버 접속 기록 분석 결과, 해킹은 2024년 6월 28일부터 29일까지 이틀간 발생했으며, 공격자는 서버의 보안 취약점을 악용해 6월 30일 이전 가입자 데이터를 무단으로 탈취했다. 

경찰 조사에 따르면, 정보보안을 독학한 중학생 2명이 범행을 저지른 것으로 파악되었다.
일반적인 웹 서비스 아키텍처는 본인 인증을 거쳐 발급된 접근 토큰을 통해 개인정보 데이터베이스에 접근하도록 설계되나, 당시 따릉이 서버는 이러한 인가 검증 로직이 누락되어 외부망에서 대량의 데이터 쿼리가 가능했던 치명적인 보안 결함이 존재했다. 시스템 운영 주체인 서울시설공단은 자체적인 이상 징후 탐지를 수행하지 못했으며, 사고 발생 1년 7개월 만인 2026년 1월 27일 경찰의 사이버 수사 통보를 받고서야 사태를 파악했다. 

탈취된 데이터베이스에는 사용자의 식별 정보와 민감한 개인정보가 다수 포함되었다.
구체적인 유출 항목은 아이디, 휴대전화 번호, 생년월일, 성별, 체중, 이메일, 우편번호 및 주소지 등이다. 일부 회원의 경우 보호자의 휴대전화 번호, 생년월일, 성별 데이터까지 함께 유출되었다. 이름, 주민등록번호, 암호화된 비밀번호 등은 유출 대상에서 제외되었다. 

공단은 2026년 7월 21일부터 하루 120만 건씩 피해 회원들에게 유출 항목 및 사고 경위를 명시한 개별 안내 문자를 발송하며 사후 조치를 진행 중이다. 

서울시설공단은 전체 정보 유출 피해자 462만 명을 대상으로 '30일 정기권(1일 1시간 이용권)'을 일괄 지급하는 피해 구제안을 발표했다. 해당 정기권의 금전적 가치는 5,000원에 불과하며, 8월 중 따릉이 애플리케이션을 통해 전자 쿠폰 형태로 발급될 예정이다. 

해당 보상 정책은 발표 직후부터 실효성 논란에 휩싸였다.

•    보상액의 비례성 결여: 
휴대전화 번호 및 거주지 주소와 같은 스미싱 2차 피해 우려가 높은 식별 정보가 유출되었음에도 보상 규모가 5,000원 상당에 그친다.

•    획일적 지급 방식: 
개별 정보 유출 범위의 경중이나 과거 서비스 이용 빈도를 반영하지 않은 일괄 지급 방식을 택했다.

•    조건부 사용 기한:
쿠폰 지급일로부터 3개월 이내에 애플리케이션에 등록해야만 사용할 수 있어, 현재 자전거를 이용하지 않는 피해자에게는 실질적인 보상 혜택이 돌아가지 않는다. 기존 정기권 보유자의 경우 현재 이용권이 만료된 이후에만 등록이 가능하다. 

이번 사태는 공공 인프라 관리 기관의 부실한 정보보안 거버넌스를 여실히 드러냈을 뿐만 아니라, 사후 피해 구제 프로세스에 있어서도 실효성을 확보하지 못해 서비스 신뢰도 하락을 초래하고 있다.