[비즈니스포스트] "이 쌓인 원한들을 어찌할꼬."

이순신 장군이 일본의 조선 침략으로 벌어진 전쟁(임진왜란)을 승리로 이끄는 모습을 소재로 한 영화 '명량'(2014)에 나오는 대사다. 명량해전을 승리로 이끈 이순신 장군이 주검으로 뒤덮인 명량 바다를 바라보며 피울음처럼 쏟아낸 탄식이다.

"이 유출된 CI들을 어찌할꼬."

2024년 6월 모두투어 회원 306만, 2025년 8월 롯데카드 회원 297만, 2026년 5월 티빙 이용자 1904만, 2026년 7월 우리은행 이용자 1만7천….

개인 연계정보(CI) 유출 현황이다. 국회 과학기술정보방송통신위원회(이하 과방위) 소속 김남국 더불어민주당 의원이 집계해 내놨다. 지난 6월에는 BGF 네트웍스(CU 택배 운영사) 회원 것도 유출됐다. 구체적인 유출 규모는 아직 조사 중이다.

지난 1일에는 신한은행 이용자 2만5천여명의 개인정보가 유출된 것으로 드러났다. 유출된 정보에는 CI도 있다.

CI 유출과 그로 인한 2차 피해가 앞으로 어디까지 이어질까. 탄식이 절로 나온다.

CI는 '온라인 주민번호'라고도 불린다. 우리나라 국민이면 누구에게나 부여되는 주민등록번호를 기반으로 생성된다. 주민등록번호와 CI는 일대일 매칭 관계를 갖고 있다. 온라인 서비스 이용자를 식별·연계하는 용도로 쓰인다. 거의 모든 공공기관과 기업들이 온라인 서비스 이용자를 식별하는 수단으로 CI를 수집해 활용한다.

그런데 이게 곳곳에서 줄줄이 유출되고 있다. 김남국 의원의 국정감사 준비 자료에 따르면, 2026년 6월 이후에만 온라인 서비스 이용자 2500만명 이상(중복 포함)의 CI가 유출됐다. 조사 중이거나 유출된 사실조차 알아차리지 못하고 있는 것까지 포함하면, CI 유출 규모는 더 늘어날 수 있다.

이 가운데 롯데카드 회원 CI는 암호화되지 않은 상태로 유출됐다. 더욱이 주민등록번호와 함께 나갔다.

뭐가 문제냐고?

개인정보가 병원, 카드사, 통신사에서 각각 유출됐다고 치자. 3곳에서 나온 개인정보 뭉치를 관통하는 키워드는 주민등록번호이다. 3곳 모두에 들어있을 가능성이 크다. 주민등록번호로 서로 아무 상관도 없는 데이터 뭉치 3곳에서 특정인의 개인정보만을 쏙쏙 뽑아낼 수 있다. AI를 활용하면 이 작업이 더 쉬워질 수 있다.

각각 뽑아낸 정보를 결합하면? 졸지에 내 신상 카드가 완성된다. 혈액형과 진료 내역은 물론 계좌·거래정보와 전화번호·통화내역 등이 채워질 수 있다. 이를 통해 비식별 처리(이름·주민등록번호 등 삭제·가림)돼 돌아다니는 또 다른 개인정보 뭉치 속 그의 정보도 찾아낼 수 있다.

정보인권 보호 활동을 펴는 시민단체(이하 정보인권단체)들이 가명화 내지 비식별 처리 방식의 위험성을 강조하는 것도 이런 이유에서다. 정보 내용을 비교해 이름과 주민등록번호 등을 되살려낼 수 있다.

CI도 마찬가지다.
  
예를 들어, CI를 키워드로 모두투어, 티빙, 롯데카드 등 여러 업체에서 유출된 회원 개인정보 데이터 뭉치에서 특정인의 개인정보를 발라내는 게 가능해진다. 유출된 데이터 뭉치에 어떤 정보가 들어있느냐에 따라 어디를 여행했거나 갈 예정이고, 어떤 영화·드라마를 좋아하며, 카드로 무엇을 자주 사는지 등도 뽑아낼 수 있다.

더욱이 이용자·회원들은 주민등록번호를 바꾸지 않는 한 CI도 바꿀 수 없다. 평생 피해에 노출될 수밖에 없다.

주민등록번호 대안으로 만들어진 CI가 주민등록번호의 전철을 밟고 있는 꼴이다.

2010년을 전후해 IT 업체와 온라인 서비스 사업자들을 중심으로 이용자 주민등록번호를 수집해 식별 수단으로 활용하다 유출시키는 사고가 잇따랐다. 주민등록번호 대규모 유출 사태가 빈번하게 일어났다. 당시 언론에 보도된 주민등록번호 유출 건수만 합쳐도 1억 건을 넘는다.

보이스피싱 등 주민등록번호 유출에 따른 것으로 의심되는 피해도 이어졌다.

급기야 정부는 2014년 개인정보보호법(제24조의2)을 개정해, 민간 온라인 서비스 사업자가 이용자의 주민등록번호를 수집해 식별 수단으로 활용하는 것을 금지했다. 이어 2017년에는 유출 피해자 주민등록번호 변경 제도를 도입했다. 지난 6월 기준 주민등록번호 변경 신청 건수가 1만3천여건(누적)에 달한다.

이제는 CI가 똑같은 위험에 처했다.

정보인권단체들은 "온라인 서비스를 제공하는데 CI가 반드시 필요하지도 않다"며 "지금부터라도 CI 수집을 즉각 중단하고, 특히 유출 피해자 CI는 즉각 삭제하거나 활용을 중지시켜야 한다"고 주장한다.

하지만 온라인 서비스 사업자들은 지금도 CI를 '수집 필수 항목'으로 꼽아 수집·활용 동의를 받고 있다. 

참여연대·민주사회를위한변호사모임(디지털정보위원회)·정보인권연구소·디지털정의네트워크 등 정보인권단체들은 지난 7월7일에도 줄줄이 터진 우리은행과 티빙 등의 개인정보 유출 사태와 관련해 공동 성명을 내어 "정부는 CI 제도를 폐지하고, 온라인 본인확인 제도를 개인정보 보호 친화적으로 개선하라"고 촉구했다.

이들은 "국민들이 CI 유출 피해에 평생 시달리지 않도록, 정부가 국가적 차원에서 제도 개선에 나서야 한다"며 "방미통위가 계속 온라인 서비스 사업자들의 CI 오남용을 방관하고, 제도적으로 조장하기까지 할 거면, 관련 업무를 개인정보보호위원회로 넘기도록 해야 한다"고 주장했다.

문득 궁금하다.

유출 피해를 이유로 온라인 서비스 사업자들이 이용자 주민등록번호를 수집해 식별 수단으로 활용하는 것을 금지시켰는데, 왜 같은 방식의 온라인 주민번호 제도가 다시 만들어졌을까.

산업 육성과 서비스 활성화를 명분으로 이용자 정보인권 보호보다 사업자 편익을 우선시하는 정부 부처 짓이다. 온라인 서비스 사업자의 주민등록번호 수집·활용을 금지시킨 명분대로라면, CI를 만들면 안 됐다.

온라인 서비스 사업자들이 주민등록번호를 수집하거나 온라인 주민번호를 만들어 식별 수단으로 삼게 하는 나라는 전 세계에서 우리나라가 유일하다시피 하다. 미국과 유럽도 이렇게 하지 않는다. 글로벌 온라인 서비스 사업자들도 생년월일이나 휴대전화 번호, 또는 여러 정보 조합 등으로 각각 이용자를 식별한다.

장여경 정보인권연구소 이사는 "평생 바꿀 수 없는 국민 고유 식별번호는 일단 유출되면, 정보 주체가 평생에 걸쳐 위험에 노출될 수밖에 없기 때문"이라고 설명했다.

하지만 정부는 정보통신망법(제23조의5)를 개정해, 전자정부 서비스와 금융 마이데이터, 민간 온라인 서비스 등에서 범용 표준 식별자로 CI를 만들어 사용할 수 있게 했다. 직접 관련 제도를 도입해 CI 생성·활용을 돕기까지 했다.

물론 온라인 서비스 사업자들의 요청에 따른 것이다. 사업자들은 이제 와서는 'CI를 폐지하거나 제약하면 산업과 서비스에 악영향을 주고, 사업자들은 물론 이용자들도 혼란에 빠질 수 있다'고 으름장을 놓는다.

속내는 CI를 폐지하면 이용자 식별 수단을 각자 따로 마련해야 하는데 따른 비용 부담 증가를 걱정하는 것이다. 혹시라도 CI가 폐지되면, 네이버와 카카오를 포함해 모든 온라인 서비스 사업자가 구글과 메타처럼 각자 별도의 이용자 식별 방법을 강구해야 해서다.

앞서 헌법재판소는 2012년 빈번하게 발생하는 주민등록번호 유출 사태에 우려를 제기하며, 인터넷 본인확인제에 대해 위헌 결정을 내렸다. 정보인권단체들은 "국민의 개인정보 자기결정권 보호가 우선이라고 판단한 것"이라고 평가한다.

또한 2015년에는 주민등록번호 변경 불허 법률 조항에 대해 헌법 불합치 결정을 내렸다. 정보 주체 친화적 판단이란 평가가 나왔다. CI도 같은 길로 들어섰다.

정보인권단체들은 2024년 10월 CI를 범용 표준 식별자로 생성해 이용하도록 한 정보통신망법 조항에 대해 헌법소원을 제기했다.

이런 가운데 정치권에서 대안이 나왔다.

지난 9월21일 김남국 의원은 국감 준비 보도자료를 내어 "방미통위 국감 때 CI 1년 유효기간제 도입을 요구할 것"이라고 밝혔다. CI 값을 1년마다 갱신해 유출에 따른 피해를 최소화하자는 것이다.

김 의원은 "잦은 유출 상황을 고려할 때 1년 간격 갱신이 바람직해보인다"고 설명했다.

김 의원은 이어 "유효기간제처럼 신속하게 추진할 수 있는 것은 우선 도입하고, 이미 유출된 CI를 새로운 값으로 바꾸는 재발급 제도는 관련 법령 정비를 거쳐 순차적으로 마련하자"고 제안했다.
 
이런 제안은 과방위 소속 조경태 국민의힘 의원도 내놨다. 같은 날 국감 준비 보도자료를 내어 "해킹 사고로 CI까지 잇따라 유출되고 있다"며 "CI에 1년 단위 유효기간을 두자"고 했다.

앞서 방미통위는 지난 달 18일 고시를 개정해, 주민등록번호와 CI의 분리·보관 시기를 당초 2027년 5월에서 같은 해 1월로 앞당겼다. 김남국 의원은 "방미통위가 필요하면 고시를 개정해 제도 시행 시기를 앞당길 수 있다는 점을 보여줬다"며 "CI 유효기간제 등 반복되는 CI 유출 위험을 줄이기 위한 조치 역시 검토만 하지 말고 서둘러 도입하라"고 촉구했다.

김 의원은 "방미통위는 이번 국감에서 CI 유효기간제 도입과 재발급 체계 마련에 대한 구체적인 일정과 계획을 제시하라"고 떠밀었다.

비즈니스포스트의 취재를 종합하면, 방미통위는 내부적으로 CI 값을 2~3년 단위로 갱신하는 방안을 검토하고 있는 것으로 알려졌다. 과방위 소속 여야 의원들이 한 목소리를 내고 있는만큼, 방미통위가 국감을 받는 과정에서 CI 유효기간제 도입 방침을 밝힐 가능성이 크다.

궁금하다. "제약하면 온라인 서비스 산업 위축 및 이용자 혼란" 으름장을 놓던 온라인 서비스 사업자와 "당장 폐지"를 주장해온 정보인권단체들은 CI 유효기간제 도입에 어떤 반응을 보일까. 김재섭 선임기자