우리은행 고객 개인정보 1만7551건 유출 사고 발생
CI만으로 개인식별 불가능하지만…악용 우려 배제 못해
[서울=뉴시스] 이정필 기자 = 국내 대형 시중은행의 고객 개인정보가 유출되는 사고가 발생했다. 고객 자금을 직접 다루며 가장 안전해야 할 은행마저 허점을 드러내면서 민감한 개인정보가 금융권에서도 지속적으로 새고 있다는 지적이 커진다.
3일 금융권에 따르면 우리은행에서는 최근 대체불가토큰(NFT) 플랫폼 구축 프로젝트를 수행한 외부 개발업체가 임의로 보관하고 있던 개인정보 1만7551건이 해당 업체 직원의 과실로 유출되는 사고가 발생했다.
우리은행은 지난달 30일 유출 사실을 인지한 즉시 개발업체를 통해 관련 정보 접근을 차단했다. 개발업체는 개인정보보호위원회에 신고하고 홈페이지에 관련 사실을 공지했다.
유출된 개인정보는 고객의 이용자 닉네임과 연계정보(CI)다. CI는 보안상 위험 때문에 수집이 금지된 주민등록번호를 대체하기 위해 만들어진 개인식별용 전자정보다.
주민등록번호를 암호화해 만든 값인데 그 자체로는 특정 개인을 식별하거나 주민번호로 복원할 수 없다.
우리은행은 정진완 은행장 명의로 발송한 고객 사과문에서 "이용자 닉네임은 서비스에서 자신을 표현하기 위해 임의로 입력하는 별칭으로서 회원ID나 로그인 계정 정보는 아니다"라며 "또한 CI는 온라인에서 개인을 식별하기 위한 값으로 해당 값만으로는 특정 개인을 알아볼 수 없는 정보"라고 전했다.
우리은행의 설명대로 CI만으로 회원 계정에 무단 로그인을 하거나 금융 자산이 직접적으로 탈취당할 확률은 거의 없다.
그러나 주민등록번호를 기반으로 생성돼 평생 변하지 않는 고유한 값이기 때문에 다른 경로로 유출된 개인정보와 결합될 경우 타깃형 보이스피싱이나 명의도용 등에 악용될 우려가 있다.
이번 우리은행 고객 개인정보 유출이 결코 가벼운 사고가 아니라는 지적이 나오는 이유다. 개인정보보호위원회도 개인정보보호법상 다른 정보와 쉽게 결합해 특정 개인을 알아볼 수 있는 정보로서 개인정보에 해당한다고 보고 있다.
무엇보다 금융권에서 가장 규모가 크고 이용자수도 가장 방대해 그만큼 더 안전해야 할 시중은행의 개인정보 유출사고가 발생했다는 점에서 논란은 커질 전망이다.
지난 2023년 대구은행(현 iM뱅크)에서 내부 직원들이 실적을 올리기 위해 고객 동의 없이 개인정보를 무단으로 활용해 약 1600여개의 증권계좌를 개설했다가 대규모 징계를 받은 금융사고가 있었지만 엄밀한 의미에서 고객정보의 외부 유출은 아니었다.
은행권에서 외부로 고객정보가 대규모로 유출된 사고는 지난 2013년 당시 한국SC은행(현 SC제일은행)과 한국씨티은행에서 발생한 13만여건의 개인정보 유출 사건이 있다.
당시 한국SC은행은 전산프로그램 개발업무를 맡은 외주업체 직원이 10만건에 달하는 고객정보를 대출모집인에게 넘겨줬다가 적발됐으며 씨티은행에서는 내부 직원이 은행 전산망에서 수만건의 고객정보를 A4 용지로 출력해 대출모집인에게 전달한 사고가 있었다.
당시 사고는 성명, 주민등록번호, 연체정보, 직장 및 소득 정보 등으로 금융자산 유출 위험성이 훨씬 높은 정보들이었다. 반면 이번 우리은행 사고에서 유출된 정보는 닉네임과 CI로 확인돼 피해 발생 가능성은 낮은 것으로 파악돼 과거 사례와는 유출 경위나 정보 항목, 피해 가능성 측면에서 차이가 있다.
우리은행은 현재까지 유출된 닉네임이나 CI가 온·오프라인에서 확산되거나 악용된 사례는 발생하지 않은 것으로 파악하고 있다. 만에 하나 이번 유출로 향후 고객 피해가 발생할 경우 신속하게 확인하고 보상한다는 방침이다.
다만 외부 개발업체 직원이 고객 개인정보가 포함된 파일의 링크를 외부에 유출하고 이같은 사실을 수개월이 지난 후에야 인지했다는 점에서 외주업체 관리가 미흡했다는 지적은 피하기 어려울 전망이다.
우리은행은 사과문에서 "이번 일을 계기로 개발업체의 개인정보 관리 현황을 전수 조사해 미흡한 점은 즉시 시정 조치하겠다"며 "우리은행 자체의 개인정보보호 체계도 한층 강화해 어떠한 유형의 개인정보 유출도 재발하지 않도록 심기일전 하겠다"고 전했다.
◎공감언론 뉴시스 [email protected]
