[김재섭의 뒤집어보기] 금융·통신·플랫폼 기업서 대량 유출된 개인정보, '가명정보 재식별'로 2차 피해 우려

[비즈니스포스트] "가명정보 재식별화 부작용이 불가피해질 수 있다. 개인정보를 부당 수집해 활용하려는 쪽은 기회일 수 있지만, 정보 주체 쪽에서는 재앙이 될 수 있다."

익명을 요구한 가명정보 전문가가 비즈니스포스트와 만나 한 말이다. 이 전문가는 "데이터학 관점에서 상당히 심각한 상황이다. 유출된 개인정보를 돌아봐야 한다"고 거듭 강조했다.

지난해부터 이름·주민등록번호·CI(연계정보)·집주소·직장명 등이 포함된 국민·이용자·회원·고객 개인정보가 줄줄이 대량으로 유출되고 있는 가운데, 유출된 개인정보가 '가명정보'를 재식별화하는 열쇠로 악용될 수 있다는 우려가 커지고 있다.

보안을 강화해 추가 유출을 막는 노력 못지않게 이미 유출된 개인정보를 무력화하는 작업도 시급하지만, 누구도 관심을 기울이지 않고 있다는 지적이 나오고 있다.

정부 주체들이 '내 개인정보는 이미 다 나가서 돌아다니고 있다고 봐야 하는 거 아닐까'라고 대응을 포기하고, 최근 열린 국정감사에선 일부 의원이 '해킹과 개인정보 유출은 불가피한 것 아니냐'는 잘못된 인식을 드러내기까지 했다.

이런 분위기를 틈타, 보안을 소홀히 하다 해킹을 당해 개인정보를 유출한 쪽이 "이미 유출됐고, 누가 빼갔는지도 모르는 걸 어쩌란 말이냐"고 눈을 부라리는 모습도 보인다. 통신망 해킹을 당해 가입자 개인정보를 대량 유출한 것으로 드러난 한 통신사 관계자는 비즈니스포스트와 만나 "앞으로 잘하라고 해야지, 이미 유출된 것을 가지고 자꾸 뭐라 하며 보상을 늘리라고 하는 게 뭔 도움이 되는지 모르겠다"고 목소리를 높였다.

'가명정보'는 누구 것인지 식별이 어려운 상태로 만든(가명화한) 개인정보를 말한다. CI는 주민등록번호를 기반으로 만들어진 또다른 개인 식별 값이라고 보면 된다. 주민등록번호와 일대일 관계를 갖는다. 2013년 개인정보보호법 개정으로 주민번호를 수집해 활용할 수 없게 된 기업·기관·단체들이 주민번호를 대체해 고객·회원·이용자 식별 수단으로 쓰고 있다.

언제부터인가 해킹과 개인정보 유출이 '일상화'하고 '대중화'한 모습이다. 말 그대로 개인정보를 수집해 쌓아두고 있는 곳은 정부기관과 기업은 물론 대학과 교회까지도 해킹 공격을 당하고, 개인정보 유출로 이어지는 모습이다.

지난해 이후 SK텔레콤에서 가입자 2300여만 명의 개인정보가 유출됐다. 쿠팡에서는 3370만 건, 티빙에서는 3954만 건이 나갔다. KT·LG유플러스·신한카드·롯데카드 등에서도 각각 수백~수백만 건씩 빠져나간 것으로 알려졌다.

최근에는 신한·하나·KB국민·부산 등 대형 시중은행과 일부 저축은행·보험사 등도 당했다. 조사 과정에서 추가 유출 사례가 자꾸 드러나며 개인정보 유출 규모도 커지고 있다. 지난 26일에는 미래에셋생명에서도 고객 개인정보가 유출된 것으로 드러났다.

순복음교회와 사랑의교회 등 대형 교회들의 해킹 및 개인정보 유출 의혹도 제기되고 있다. 국외 여행을 하며 항공사에 제공한 탑승객 개인정보도 노출된 것으로 알려졌다. 대학도 줄줄이 털리고 있다.

대부분 보안을 소홀히하다 해킹을 당하고, 고객·가입자·회원·신고·학생·직원들의 개인정보를 탈취당한 것으로 드러났다. 암호화가 안된 상태로 유출된 것들도 많은 것으로 파악됐다. 주민등록번호와 CI 등 개인 식별 수단으로 쓰이는 정보도 포함됐다.

개인정보 유출로 인해 보이스피싱·문자스미싱 등의 공격에 악용되며 피해가 커질 것이란 우려가 나온다. 다양한 정보를 앞세우고 구체적 수치까지 제시해 당할 수밖에 없게 된다는 것이다.

이와 별도로, 가명정보 처리 과정을 거쳐 활용되는 개인정보의 재식별화 부작용을 우려하는 목소리도 커지고 있다. 유출된 개인정보로 가명 처리된 정보가 누구 것인지를 쉽게 알아차릴 수 있게 된다는 것이다. AI로 해킹 공격을 하고 개인정보를 빼오듯, AI로 이런 작업도 쉽게 해낼 수 있다.

공교롭게도 최근 들어 다크웹(인터넷 익명 게시판) 등에 개인정보를 판다는 글이 잇따라 오르고 있다. SK텔레콤 가입자 개인정보를 판매한다는 글이 오르기도 했다. 2022년 LG유플러스 해킹 및 개인정보 유출 사태는 다크웹에 올려진 개인정보 거래 글을 계기로 드러나기도 했다.

이런 가운데 가명정보의 재식별화에 따른 2차 피해가 더 커질 수 있다는 우려의 목소리도 높아지고 있다.

개인정보보호법(제28조의2)은 통계 작성, 과학적 연구, 공익적 기록보전 등의 목적일 때는 정보 주체의 동의 없이 가명정보를 처리할 수 있도록 허용한다. 너무 포괄적이라 악용 가능성이 크고, 가명정보의 재식별화 가능성에 대한 우려가 컸지만, 정부는 '규제 완화를 통한 산업 진흥'을 명분으로 이를 허용했다.

정부는 AI 기술 발전과 산업 육성 지원 등을 명분으로 가명정보 활용을 독려하고 있다. 정부기관 보유 개인정보를 가명 처리해 학계와 민간기업 등이 활용할 수 있게 한다. AI 산업 진흥을 맡고 있는 과학기술정보통신부는 물론이고, 개인정보 보호 규제·감독을 맡고 있는 개인정보보호위원회까지 '진흥'을 명분으로 가명정보 활용에 앞장서고 있다. 윤석열 정부 때 시작된 개인정보보호위원회의 이같은 행보가 이재명 정부 들어 송경희 위원장 취임 뒤 가속화하는 모습이다. 코스콤을 가명정보 처리 기관으로 추가 선정하고, 정부·공공기관 보유 개인정보의 가명 처리 및 활용 실적을 공공기관 경영평가에 반영하는 무리수까지 동원하고 있다.

한국인터넷진흥원(KISA) 홍보물에는 '원스톱으로 공공기관 가명정보 제공 가점 받아보세요!'라는 문구와 함께 공공 데이터 제공 운영실태 평가와 데이터 기반 행정 실태점검에서 가명정보 제공 1건당 각각 1점, 최대 5점의 가점을 받을 수 있다는 내용이 담겼다.

개인정보 유출과 가명정보 이용 활성화 정책이 무슨 상관이냐고?

한 시중은행 고객 김아무개의 개인정보가 이름·주민등록번호·주소 등이 포함된 형태로 유출됐고, 이게 개인정보 불법 수집·이용을 꾀하는 사람(해커) 손에 들어갔다고 가정해보자.

해커는 정보 가치를 높이려고 할 가능성이 크다. 데이터 마이닝 기술을 이용해 수집한 정보의 순도를 높이고, 누구 정보인지를 파악하려고 할 것이다. 나아가 다른 개인정보 뭉치(다른 곳에서 유출된 개인정보 덩어리나 가명정보 뭉치)에서 그의 개인정보를 추가로 추출하려고 할 수도 있다.

방법은 이미 나와 있다. AI를 활용할 수도 있다.

개인정보보호위원회 출신의 한 개인정보 보호 전문가(익명 요구)는 비즈니스포스트와 만나 "은행이나 보험사에서 유출된 김아무개 씨의 나이(생년월일)·직업·직장명·연소득·대출내역 등과 겹치는 정보를 가명정보에서 찾아내는 즉시 해당 가명정보는 재식별 가능한 상태로 바뀐다고 볼 수 있다"고 설명했다.

이 전문가는 "이런 식으로 특정 개인의 개인정보를 모으고 순도를 높일 수 있다. 이렇게 손질된 정보는 가치가 높아진다"고 덧붙였다.

다른 전문가는 "이런 식으로 통신사에서 유출된 개인정보에서는 김아무개의 연락처와 통신 이용 행태 등을 추출하고, 카드사에서 빼낸 개인정보에서는 카드 번호와 거래 내역 등을 얻고, 티빙 개인정보에서는 어떤 드라마나 영화를 보는지 등을 볼 수 있다"고 말했다.

이어 "쿠팡 개인정보에선 어떤 상품을 주로 주문하고, 교회 정보에선 종교와 십일조 금액 등을, 항공기 탑승객 개인정보에선 여행지와 여권번호 등을, 생명보험사 고객 개인정보에선 보험 가입 내역과 병력 관련 정보를 얻어낼 수 있다"고 설명했다.

사실상 김아무개 씨의 신상정보가 신원 조회를 할 때 수준으로 모아지는 셈이다. 의료기관 등에서 유출된 개인정보에서는 진료 내역과 혈액형 정보 등을 얻을 수 있다. 가명정보까지 활용하면 김아무개 신상정보는 더 풍성해질 수 있다.

한 대형 법무법인 관계자는 비즈니스포스트와 만나 "유출된 개인정보 가운데 상당수는 암호화되지 않은 상태로 나간 것으로 파악되고 있다. 2차 피해로 이어지지 않게 하려면 유출된 개인정보를 무력화시키는 작업이 병행돼야 하는데, 아무도 나서지 않고 있다. 더욱 우려되는 상황은 가명정보의 재식별화 가능성을 키우는 것"이라고 말했다.

어찌해야 할까.

우선 유출된 개인정보를 추적해 삭제하거나 회수하는 것은 현실적으로 불가능하다. 유출된 개인정보와 정보 주체의 연결 지점을 끊을 수밖에 없다. 주민등록번호와 CI를 변경할 수 있게 해야 한다는 주장이 나오는 이유다.

법무법인 관계자는 "주민등록번호와 CI를 바꾸면, 유출된 개인정보가 누구 것인지 알 수 있게 하는 연결이 끊어진다. 완벽한 가명화가 이뤄지는 것이다. 이를 통해 2차 피해도 막을 수 있다"고 설명했다.

하지만 현실적으로 쉽지 않거나 불가능하다. 주민등록번호는 바꿀 수 있지만, 절차가 까다롭고 복잡하다. CI는 바꿀 길이 없다. 올 국감서 방송미디어통신위원회가 의원들 질의에 답하는 형태로 CI 유효기간 제도 도입을 검토하겠다고 밝혔지만, 언제 가능할지는 미지수다. 기업들은 "혼란과 비용 부담 증가"를 이유로 반대하고 있다.

정부는 그동안 국민·시민의 정보인권 보호보다 기업들의 규제 완화 요구에 더 귀를 기울여왔다.

개인정보 유출에 대처하는 방식을 바꿔야 한다는 지적도 나온다.

전성인 전 홍익대 교수는 '검문소와 골든 스니치'란 제목의 한겨레 기고문에서 "보안과 암호화는 민감 정보를 보호하는 양대 축이다. 보안은 탈취가 예상되는 경로마다 일종의 검문소를 세우는 것이고, 암호화는 탈취하더라도 쓸 수 없게 만드는 것이다. 두 축의 유효성을 모두 유지하는 것이 원칙이지만, 만약의 사태에 대비해 설사 한 축이 무너지더라도 다른 축이 최대한 버텨줄 수 있도록 보호 시스템을 설계해야 한다"고 짚었다.

그는 이어 "정보보호는 본질적으로 완벽할 수 없다. (금융회사를 대상으로 동시다발적으로 일어난) 이번 AI 해킹이 적나라하게 보여준 점은 그동안 정보보호의 한 축이었던 ‘보안’이 이제 더 버티지 못한다는 것이다. 그래서 ‘보안’에서 ‘암호화’로 정책 전환이 필요하다. 최소한 양자 컴퓨팅이 현존하는 암호 체계를 무력화시킬 때까지는"이라고 덧붙였다. 김재섭 선임기자