정보유출로 신용경제의 축 무너져 내릴 판
개인정보 공유하며 영업에만 몰두한 부작용
사상 최악의 개인정보유출사건으로 연초부터 온 나라가 벌집을 쑤셔 놓은 듯 어수선하다.
KB국민․ 롯데․ NH농협카드에서 발생한 고객정보 1억 500만 건의 유출사건은 'IT(정보통신기술)강국'은 곧 'IT범죄공화국'이라는 두 얼굴을 대내외에 적나라하게 드러냈다.
유출된 정보에는 비밀번호와 인증번호 등이 포함되지 않아 카드의 위·변조는 불가능하고, 정보 유출로 인한 2차 피해는 없다고 해당 카드사와 당국은 애써 강조하지만 카드를 해지하거나 재발급 받으려는 행렬은 설 연휴도 아랑곳 않고 이어졌다. 마침내 금융당국은 해당 카드 3사에 대해 14일부터 '3개월 영업정지'라는 초강수 제재를 들고 나왔다.
영업정지 3개월은 '사형선고'에 버금가는 혹독한 처벌이다. 신규 고객을 유치할 수 없고 카드론이나 현금서비스 및 고객결제서비스는 기존 고객에게만 허용된다.
영업정지와 더불어 이들 3사는 다른 금융사들과 함께 오는 3월까지 전화, 문자메시지, 이메일 등을 통한 비대면(非對面)대출 모집이나 영업도 할 수 없게 돼있다.
지난 한 달여간 300여 만 건이 넘는 재발급 등에 투입한 비용만 500억 원이 넘어 올해 예상 순익을 대부분 까먹은 상태고, 앞으로 손해배상 비용까지 감안하면 카드사가 받을 타격은 엄청나다.
게다가 기존 텔레마케팅 조직 고용원이 3천~5천명에 달하고, 카드 대출모집인 등 2천여 명의 대면(對面) 조직까지 2~3개월 동안 놀리면서 고용을 유지해야 한다.
이대로 가면 망하는 카드사가 나올 수 있고, 카드업에 대한 국민적 불신이 여타 카드사들의 영업에도 악영향을 미쳐 카드업계가 2003년 '카드대란' 이후 최대 위기국면을 맞을 것이라는 우려도 나돌고 있다. 정보유출로 신용경제의 축이 무너져 내릴 판이다.
이번 사건은 IT용역업체 한 직원이 카드사의 고객데이터베이스에 접근해 개인정보 1억500만 건을 손톱만한 USB(이동식 저장장치) 하나에 담아 빼돌린 데서 비롯됐다. 과거 고객명부를 종이대장으로 보관하던 시절에 이 정도의 고객정보를 들고 나가려면 트럭으로 1000번을 날라도 불가능했을 것이라는 얘기다.
개인정보 유출사건은 2008년 인터넷 쇼핑몰 옥션에서 1081만 건의 개인정보가 유출된 이후 100만 건 이상의 정보유출사건만 무려 20건에 이른다.
금융회사와 기업에서 유출된 이들 개인정보는 그대로 각종 IT범죄로 연결되고 있다. 2001년 3만3천여 건이던 사이버 범죄 발생건수는 2012년 10만8천 여 건으로 3배 이상으로 늘었다. IT범죄는 중국 등 해외를 근거지로 삼고 있어 검거율은 50%도 안 된다.
IT기술의 급격한 성장으로 보이스피싱, 스미싱, 파밍, 스피어피싱 등 해커들의 범죄수법은 새로운 날개를 달고 있는 데 비해 보안시스템이나 수사기관의 대처능력은 거북이걸음을 하고 있기 때문이다.
IT범죄가 가장 기승을 부리는 곳이 금융업계다. 은행의 경우 전통적 창구거래는 10%대에 불과할 뿐 대부분의 금융거래는 인터넷 뱅킹 폰뱅킹 자동입출금기(ATM)로 이뤄지고 있다.
대표적 전자금융사기범죄인 보이스피싱 스미싱도 금융시장이 주 무대다. 스피어피싱(spear phishing)은 사전에 범죄대상에 대한 신상정보, 즉 이름이나 패스워드 등을 구체적으로 파악한 다음 '창'을 갖고 '정밀 타격'하는 치밀한 해킹 범죄 수법이다.
이번 개인정보 유출을 틈타 '스미싱'과 함께 '파밍'공격이 기승을 부리고 있다. 파밍(pharming)은 공격자가 가짜 인터넷 뱅킹 사이트를 만들어 놓고, 정상적인 은행 고객을 가짜 사이트로 유도해 고객으로부터 인터넷 뱅킹 관련 인증 정보를 절취해 고객의 돈을 훔쳐가는 전자금융사기다.
가입자 이름·주민등록번호 및 계좌번호 등의 금융정보를 빼가기 때문에 치명적이다. 카드사의 개인정보유출 여부를 확인하는 홈페이지를 보란 듯이 새로운 공격대상으로 삼을 정도다.
한국의 유 ․ 무선 인터넷 인프라와 환경은 가히 세계 최고수준을 자랑한다. 그러나 개인 정보관리에 대한 보안의식과 유지 관리시스템이 턱없이 낮아 어느 새 '사이버 범죄자들의 천국'이란 오명을 쓰고 있다.
인터넷 악성코드의 70%가 한국을 경유하는 등 세계 1위의 악성코드 유포지가 한국이고, 한국인들의 인터넷 뱅킹 이용율이 높아 계정 탈취가 쉽고 현금화방법도 다양해 해커나 범죄조직의 먹잇감이 되고 있다고 한다.
기업들의 대부분은 개인정보 보호를 위한 전문 인력이나 예산은 물론 담당부서 조차도 없어 금융권에서 발생한 고객 개인정보 대량유출 사고는 언제든지 일어날 소지가 다분하다. 과점 상태에 있는 금융사들이 고객 정보 보호는 소홀히 한 채 계열사끼리 또는 동종 업체끼리 정보를 공유하며 영업에만 몰두해 온 결과가 이번 사고의 본질이다.
오프라인 세계의 치안에서는 한국은 세계적으로 안전한 나라로 꼽히지만 온라인에서는 가장 위험한 나라가 되고 있다는 얘기다. 'IT 강국'이란 명성이 부끄럽다.
금융 당국이 일정 지침을 제공하고 기업들이 당국의 요구수준에 맞추는 데 급급한 것이 지금까지의 보안조치 모델이었다. 기업들이 고객정보 보호를 위해 창의적인 보안 조치들을 개발하고, 고객들은 개인정보를 더 잘 지켜주는 기업을 믿고 선택할 수 있어야 한다. 고객정보 보호를 위한 선의의 보안 경쟁이 이루어지면 기업들의 정보보호 수준은 전반적으로 올라갈 수 있다.
금융소비자에 불리한 법 규정도 차제에 고쳐져야 한다. 개인정보를 갖고 있는 기업은 이를 안전하게 관리할 의무가 있는데 현행법은 기업이 이러한 의무를 위반했다는 사실을 피해자가 입증해야 배상을 받을 수 있게 돼 있다. 보이스피싱, 스미싱 등으로 간접피해를 입었을 경우 유출사고로 인한 피해라는 것을 입증하기도 어렵다. 기업에 입증책임을 요구하고 집단소송제를 활성화해야한다는 주장도 그래서 힘을 얻고 있다.
이번 사태의 근본적 문제점은 우리 국민의 개인정보, 나아가 행정정보의 골간을 이루는 주민번호체계가 사실상 전면 노출됐다는 데 있다. 국민당 하나의 고유번호를 부여하는 현행 주민번호체계는 그 관리와 이용의 편의성 때문에 모든 개인별 정보가 그 위로 층층이 쌓여있어 주민번호가 노출되면 그 위에 있는 어떤 정보도 안전할 수 없는 구조로 돼 있다.
주민번호가 일단 유출되면 국민들은 항상 맘 졸이며 불안 속에서 살아야 한다. 박근혜대통령이 "외국의 사례를 참작해 개인을 식별하는 다른 대안이 없는지 검토하라"고 지시한 것은 근본적 해법을 위한 좋은 출발점이 될 수도 있다.
이번 개인정보유출 대란은 개인정보의 중요성을 전 국민적으로 인식시키는 소중한 계기가 됐다. 국민개인의 보안의식을 높이고, 시대에 맞게 보안시스템을 업그레이드해 개인정보보호의 새로운 장을 여는 2014년으로 만들어야 한다.
