[비즈한국] 首尔公共自行车“Ttareungyi”（叮当）遭遇入侵，大量用户个人信息被泄露，经查作案者竟是青少年。虽然其中一名嫌疑人声称是“为了炫耀技术”，但这起事件并非仅仅是“少年黑客”的偏激行为那么简单。因为这并非依靠高超的渗透技术，而是利用了服务器架构的漏洞，即无需进行用户验证即可查询信息。
目前，调查范围已扩大至运营主体首尔设施公团的监管责任，相关部门正在进行立案前的调查（内查）。外界指出，与其将其断定为个人的过失，不如反思公共平台整体的安全设计与检查体系。
据首尔警察厅透露，这两人在2024年6月28日起的两天内，身为中学生便入侵了Ttareungyi服务器，下载了约462万条用户账号信息。泄露的内容包括ID、手机号码、电子邮件地址、家庭住址、出生日期、性别、体重等，但不含姓名和居民登录号。
当时，针对Ttareungyi应用服务器的DDoS攻击发生，APP停摆了约80分钟，首尔市曾向行政安全部进行了故障申报。截至目前，尚未发现个人信息被二次流通或产生金钱利益的相关情况。
经调查，两人是通过网络社区和社交媒体认识的，此前从未在现实中见过面。调查过程中获取的Telegram聊天记录显示了他们预谋作案的细节。在意识到服务器的漏洞点后，一名嫌疑人提议“把全量数据下载下来”，随后两人分工进行了信息收集。他们供述称，平时对信息安全领域感兴趣，通过自学掌握了相关技术。
此次事件并非源于内部检查，而是在调查其他共享出行平台遭到的网络攻击时被发现的。在对嫌疑人的电子设备进行取证分析时，发现了大量会员信息文件，从而扩大了调查范围。2024年10月，其中一名嫌疑人首先被捕，通过追踪Telegram账号，同伙身份被确认，并于今年1月被追加逮捕。
警方虽曾两次为被认定为主谋的嫌疑人申请拘捕令，但考虑到其为未成年人等因素，检方未予批捕。
调查中确认的入侵方式并非依靠高深技术，而是利用了服务器设置的漏洞，即在没有用户认证或权限确认的情况下即可查询信息。
调查显示，入侵路径利用了相对简单的结构性漏洞。考虑到他们在两天内窃取了数百万条信息，有人质疑：该平台是否缺乏控制大规模查询的机制以及监测异常迹象的预警体系。
针对运营主体首尔设施公团的调查也在同步进行。公团因在2024年察觉到黑客攻击事实后未采取任何措施而受到指责。据首尔市透露，事件发生后的同年7月，云服务器管理服务商曾向首尔设施公团提交了一份包含个人信息泄露情况的报告，但公团却未向个人信息保护委员会申报或通知市民，而是采取了默认态度。警方目前正围绕是否违反个人信息保护法等问题，对相关人员进行立案前调查。
Ttareungyi应用个人信息管理的直接责任主体是首尔设施公团，而首尔市则是监管机构。这不仅是关于个别员工过失的问题，更是一场关于公共平台的访问控制、权限管理及侵入响应体系是否在制度上合规的问责流程，因此可能引发进一步的制度改革讨论。
个人信息保护委员会也在上月30日从警方收到泄露申报后着手调查。预计通过调查，将查明事故的具体缘由、个人信息是否进一步泄露、是否违反相关法律，以及具体的技术漏洞范围等。
虽然此次事件发生于约1年8个月前，但直到警方在调查其他网络攻击案分析嫌疑人物品时发现了会员信息文件，才公之于众。上月27日，在收到首尔警察厅关于会员信息泄露嫌疑的通报后，首尔市进行了内部调查，并确认了初期应对不力的情况。
首尔市交通运营官韩正勋于本月6日召开新闻发布会表示：“调查确认，公团在2024年7月确认个人信息泄露事实后，未采取适当措施。”并称“将根据调查结果明确公团相关人员的责任，必要时将考虑解除职务等后续处理。”
Ttareungyi是首尔市于2015年引入的公共自行车服务，在首尔全市设置了租赁站，成为市民短途出行的重要工具。自投入使用以来，累计使用次数已突破2.5亿次，2024年全年的使用次数高达4385万次。与10年前相比，使用规模增长了约400倍。