CI·결제이력 등 70종 대규모 유출…"집단소송제 도입 불가피" 목소리

---

과학기술정보통신부가 2026년 9월 3일 공개한 개인정보 유출 사고가 역대 최대 규모 민감정보 유출로 확인되며 파장이 커지고 있다. 주민등록번호 대체 식별값인 CI(연계정보)를 포함해 결제이력 등 20개 항목 70종의 정보가 유출됐으며, 전문가들은 현행 손해배상 체계의 한계를 지적하며 집단소송제 도입 필요성을 촉구하고 있다.

---

사고 개요 및 심각성

이번 유출 사고에서 가장 우려되는 부분은 CI(Connecting Information, 연계정보) 유출이다. CI는 주민등록번호를 대체하기 위해 도입된 본인확인 식별값으로, 한 번 발급되면 변경이 불가능하다는 치명적 특성을 갖는다.

유출된 70종의 정보에는 CI 외에도 △결제이력 △거래내역 △연락처 △주소정보 등이 포함된 것으로 알려졌다. 이러한 정보가 조합될 경우 명의도용, 스미싱, 보이스피싱 등 2차 피해로 직결될 수 있어 전문가들의 우려가 크다.

특히 CI는 금융·통신·공공기관 간 본인 동일성 확인에 광범위하게 사용되기 때문에, 유출 시 피해자가 할 수 있는 조치가 사실상 없다는 점에서 기존 개인정보 유출과 차원이 다르다.

---

공통 패턴 분석: 반복되는 대규모 유출

최근 개인정보 유출 사고들을 분석하면 몇 가지 공통 패턴이 발견된다.

첫째, 과도한 개인정보 수집이다. 서비스 제공에 필요한 최소한의 정보만 수집해야 한다는 '개인정보 최소수집 원칙'이 현장에서 제대로 지켜지지 않고 있다. 70종에 달하는 정보가 한 곳에 집적돼 있었다는 사실 자체가 이를 방증한다.

둘째, 보유기간 초과 정보의 미파기다. 상당수 기업들이 법정 보유기간이 지난 개인정보를 삭제하지 않고 방치하다 유출 피해를 키우는 사례가 반복되고 있다.

셋째, 암호화 등 기술적 보호조치 미흡이다. 개인정보보호법 제29조에 따른 안전성 확보조치가 형식적으로 운영되는 경우가 많다.

---

기업·기관 대응 방안

전문가들은 다음과 같은 대응 방안을 제시한다.

• 개인정보 흐름 전수조사: 보유 중인 개인정보 항목을 전수 점검하고, 불필요한 정보는 즉시 파기
• CI 등 식별정보 암호화 강화: 유출되더라도 활용이 불가능하도록 기술적 보호조치 고도화
• 접근통제 세분화: 담당자별 최소 권한 원칙 적용 및 접근기록 상시 모니터링
• 침해사고 대응체계 정비: 72시간 내 신고 의무 준수를 위한 내부 프로세스 점검

한편 이번 사고를 계기로 집단소송제·징벌적 손해배상 도입 논의가 재점화될 것으로 보인다. 현행 소송 체계에서는 개인이 피해를 입증하고 소송을 제기해야 하는 부담이 커 실효성 있는 구제가 어렵다는 지적이 꾸준히 제기돼 왔다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

CI(연계정보)의 법적 성격과 처리 기준

- CI는 개인정보보호법상 '개인정보'에 해당하며, 주민등록번호에 준하는 보호가 필요

- ISMS-P 인증기준 2.5.1(개인정보 암호화)에서 CI는 암호화 대상 식별정보로 분류

- 개인정보보호법 제24조의2에 따라 주민등록번호 처리 제한과 연계하여 학습 필요

- 출제 예상: "CI 유출 시 변경 불가능한 특성으로 인한 피해 대응 방안"

---

백남정 기자 (privacy@newsdesk.kr)