CI 포함 70종 개인정보 대규모 유출…"변경 불가능한 식별정보" 2차 피해 우려 심각

---

주민등록번호 대체 식별값 CI(연계정보)를 포함해 결제이력, 거래내역 등 20개 항목 70종의 민감정보가 유출되는 역대 최대 규모의 개인정보 침해사고가 발생했다. 과학기술정보통신부는 이번 사고를 공식 확인하며, 특히 CI의 변경 불가능한 특성으로 인한 장기적 2차 피해 가능성에 대해 깊은 우려를 표명했다.

---

사고 개요 및 심각성

과학기술정보통신부가 공개한 이번 유출 사고는 단순한 연락처 노출 수준을 넘어선다. 유출된 70종의 정보에는 CI(Connecting Information·연계정보), 결제이력, 거래내역, 연락처, 주소정보 등이 포함되어 있어 피해자의 금융활동 전반을 파악할 수 있는 수준이다.

특히 문제가 되는 것은 CI의 유출이다. CI는 2014년 주민등록번호 수집 금지 이후 도입된 본인확인 연계정보로, 한 번 발급되면 평생 변경이 불가능하다는 치명적 특성을 갖는다. 주민등록번호는 법적 절차를 통해 변경 가능하지만, CI는 현행법상 변경 제도 자체가 존재하지 않는다.

유출 정보 분석 및 2차 피해 시나리오

이번에 유출된 정보를 조합하면 다음과 같은 2차 피해가 우려된다.

첫째, 정교한 스피어피싱 공격이다. 결제이력과 거래내역을 알고 있는 공격자가 "최근 구매하신 ○○ 상품 환불 처리 중입니다"와 같은 맞춤형 사기를 시도할 수 있다.

둘째, 명의도용 및 계정탈취 위험이다. CI는 여러 플랫폼 간 동일인 여부를 확인하는 핵심 값으로, 이를 악용한 크리덴셜 스터핑(Credential Stuffing) 공격에 활용될 수 있다.

셋째, 장기적 신원정보 악용이다. CI가 변경 불가능하다는 점에서 피해자는 수년, 수십 년간 지속적인 위협에 노출될 수밖에 없다.

반복되는 대규모 유출, 공통 패턴은?

최근 발생한 대형 개인정보 유출 사고들을 분석하면 몇 가지 공통점이 드러난다. 과도한 개인정보 수집, 장기간 보관으로 인한 공격 표면 확대, 그리고 암호화·접근통제 등 기술적 보호조치 미흡이 반복적으로 지적되고 있다.

이번 사고에서도 결제이력, 거래내역 등 서비스 제공에 필수적이지 않은 정보까지 광범위하게 수집·보관했을 가능성이 제기된다.

기업·기관 대응 방안

1. 최소 수집 원칙 재점검: 개인정보보호법 제3조의 최소수집 원칙을 실질적으로 이행해야 한다. 목적 달성에 필요한 최소한의 정보만 수집하고, 보유기간 경과 시 즉시 파기해야 한다.

2. CI 관리 체계 강화: CI와 같은 고유식별정보급 데이터는 별도 암호화 저장, 접근권한 최소화, 접근로그 실시간 모니터링이 필수다.

3. 침해사고 대응 훈련 정례화: 유출 탐지부터 신고, 피해자 통지까지의 프로세스를 사전에 수립하고 정기적으로 모의훈련을 실시해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[개인정보보호법 제29조 - 안전조치의무]

>

개인정보처리자는 개인정보가 분실·도난·유출·위조·변조·훼손되지 않도록 내부 관리계획 수립, 접속기록 보관 등 안전성 확보에 필요한 기술적·관리적·물리적 조치를 해야 한다. CI와 같은 연계정보는 고유식별정보에 준하는 수준의 암호화 저장이 권고되며, ISMS-P 인증 심사 시 '개인정보 암호화(2.7.1)' 항목에서 중점 점검 대상이 된다.

---

백남정 기자 privacynews@example.com