우리은행 고객정보 1만7551건 유출…NFT 프로젝트 수탁사 직원 과실이 화근

핵심 요약

우리은행 이용자 개인정보 1만7551건이 외부 개발업체 직원의 과실로 유출된 사실이 확인됐다. 2024년 9월 NFT 플랫폼 구축 과정에서 수탁사에 공유된 데이터가 프로젝트 종료 후에도 무단 보관되다 외부에 노출된 것으로, 개인정보보호위원회(이하 개인정보위)가 조사에 착수한 상태다.

주요 내용

유출 경위: 프로젝트 종료 후에도 살아남은 데이터

우리은행은 2025년 6월 30일 유출 사실을 인지하고, 2026년 7월 3일 공식 공지를 통해 사고 내용을 공개했다. 사건의 발단은 약 2년 전으로 거슬러 올라간다. 우리은행은 2024년 9월 NFT 플랫폼 구축 프로젝트를 추진하면서 외부 개발업체에 관련 이용자 데이터를 제공했다. 문제는 프로젝트가 완료된 이후에도 해당 업체 직원이 데이터를 삭제하지 않고 임의로 보관했다는 점이다. 이 직원이 해당 정보를 개발자 플랫폼에 공유하면서 1만7551건의 개인정보가 외부에 노출됐다.

유출된 정보의 성격

이번에 유출된 정보는 연계정보(CI)와 이용자 닉네임이다. CI는 주민등록번호를 기반으로 생성되는 암호화된 고유 식별값으로, 온라인 서비스 간 본인 동일성을 확인하는 데 활용된다. 직접적인 금융정보나 주민등록번호 자체가 유출된 것은 아니나, CI는 타 서비스와의 연동 과정에서 개인 식별에 활용될 수 있어 잠재적 악용 가능성을 완전히 배제하기 어렵다.

우리은행 측은 현재까지 온·오프라인을 통해 유출 정보가 확산되거나 악용된 사례는 파악되지 않는다고 밝혔다. 아울러 향후 유출로 인한 피해 발생 시 신속한 확인과 보상 절차를 진행하겠다고 덧붙였다.

사고 인지 후 조치

우리은행은 유출 인지 즉시 개발업체를 통해 관련 정보에 대한 접근을 차단하고, 개인정보위에 신고와 함께 홈페이지 공지를 병행했다. 유출 정보의 구체적인 범위와 피해 현황은 개인정보위의 공식 조사 결과에 따라 추가로 확인될 예정이다.

전문가 분석

이번 사고는 '수탁사 관리 공백'이라는 고질적 문제를 다시 한번 수면 위로 끌어올렸다. 개인정보 보호법은 수탁자에게 위탁받은 개인정보를 업무 목적 외로 이용하거나 제3자에게 제공하는 것을 엄격히 금지하고 있으며, 위탁자(우리은행)에게도 수탁사의 개인정보 처리 실태를 정기적으로 점검할 의무를 부과한다.

그러나 이번 사례처럼 프로젝트 종료 이후 데이터 파기 여부를 체계적으로 확인하지 못하는 경우가 적지 않다. 특히 NFT·블록체인처럼 신기술 기반 프로젝트는 단기 외주 계약 형태로 진행되는 경우가 많아, 프로젝트 종료 시점의 데이터 처리 절차가 표준화되어 있지 않다는 점이 구조적 취약점으로 지목된다.

또한 CI가 암호화된 정보라 하더라도, 이를 보유한 제3자가 다른 데이터와 결합할 경우 개인 식별이 가능해질 수 있다는 점에서 단순 유출 이상의 위험성이 내포돼 있다는 시각도 있다.

시사점

금융권에서 개인정보 유출 사고가 잇따르는 가운데, 이번 우리은행 사태는 몇 가지 제도적 과제를 남긴다.

첫째, 수탁사 계약 종료 시 데이터 파기 검증 의무화가 시급하다. 현행 법령상 수탁자의 데이터 파기 의무는 명문화돼 있으나, 위탁자가 이를 실제로 확인했는지를 입증하는 절차는 미흡한 경우가 많다.

둘째, 신기술 프로젝트에 대한 개인정보 영향평가 적용 범위 확대가 필요하다. NFT·AI 등 신기술 기반 파일럿 사업은 개인정보 영향평가 의무 대상에서 벗어나는 경우가 있어 사각지대가 발생한다.

셋째, 개인정보위의 조사 결과와 제재 수준이 향후 업계 관행에 중요한 기준점이 될 전망이다. 위탁자로서 우리은행의 관리·감독 의무 위반 여부가 핵심 쟁점이 될 것으로 보인다.

--- 참고 출처: 미디어오늘, "이번엔 우리은행 개인정보 털렸다…수탁사 과실로 1만7000건 유출" (2026.07.03)