금융·OTT 가리지 않고 CI 유출…조경태 의원 ‘1년 갱신제’ 제안

최근 금융과 온라인동영상서비스(OTT), 생활서비스 등에서 연계정보(CI) 유출 사고가 잇따르면서 CI에 유효기간을 두고 주기적으로 갱신해야 한다는 주장이 나왔다. 한 번 유출돼도 이용자가 직접 변경하기 어려운 현행 구조를 손봐야 한다는 지적이다.

21일 국회 과학기술정보방송통신위원회 소속 조경태 국민의힘 의원은 오는 국정감사에서 CI 유출 문제를 집중적으로 제기하고 ‘CI 1년 유효기간제’ 도입을 요구할 예정이라고 밝혔다.

CI는 인터넷 이용자가 본인확인을 할 때 생성되는 식별 정보로 서로 다른 온라인 서비스에서도 동일인을 확인에 활용돼 ‘온라인 주민번호’로도 불린다.

문제는 유출 이후다. 비밀번호는 바꿀 수 있고 카드번호는 재발급받을 수 있지만 CI는 이용자가 직접 변경하거나 새로 발급받기 어렵다. 서로 다른 기업에서 유출된 정보가 같은 CI를 매개로 연결될 가능성도 있다. 최근 발생한 개인정보 유출 사고에서도 CI가 포함됐다.
지난해 롯데카드 해킹 사고에서는 고객정보 297만명이 유출됐으며 CI도 유출 항목에 포함됐다. 이 가운데 28만명은 카드번호와 CVC, 주민등록번호 등도 함께 유출된 것으로 확인됐다. 올해 6월 발생한 티빙 개인정보 유출 사고의 피해 규모는 1904만명으로 파악됐다. 이름과 생년월일, 비밀번호를 비롯해 CI와 중복가입확인정보(DI) 등이 유출 정보에 포함됐다. 정부는 정확한 유출 규모와 사고 경위 등을 조사하고 있다.

또 CU편의점 택배를 운영하는 BGF네트웍스에서도 이름과 휴대전화번호, 주소, 아이디(ID), 암호화된 비밀번호와 CI 등이 유출됐다. 7월에는 우리은행 고객 개인정보 1만7551건이 외부 개발업체 직원의 과실로 외부에 노출되면서 CI와 고객 닉네임이 함께 유출됐다.

CI 자체만으로 주민등록번호 등을 역추적하거나 특정 개인을 곧바로 식별할 수 있는 것은 아니다. 다만 여러 인터넷 서비스에서 동일한 값이 사용되는 만큼 각기 다른 기업에서 빠져나간 정보가 CI를 연결고리로 결합될 경우 서비스 이용내역이나 소비정보 등이 한 사람의 정보로 묶일 수 있다는 우려가 나온다.

조 의원은 현행 CI 제도를 폐지하기보다 유효기간을 설정하고 일정 기간마다 새로운 값으로 갱신하는 방안을 제안했다. 최근 유출 사고가 짧은 기간에 반복되고 있다는 점을 고려해 3년이나 5년보다 1년 단위 유효기간을 적용해야 한다는 주장이다.

아울러 조 의원은 이번 국정감사에서 방송미디어통신위원회를 상대로 CI 1년 유효기간제 도입을 비롯해 이미 CI가 유출된 이용자에 대한 긴급 변경·재발급 제도 마련을 요구할 계획이다. 기존 CI의 단계적 전환 방안과 고시·시행령·법률 개정 필요 여부에 대한 법제 검토, 구체적인 시행 일정 마련도 요구 대상에 포함됐다.
조 의원은 "해킹과 개인정보 유출을 100% 막을 수 없다면 유출 이후의 위험까지 최소화하는 제도로 전환해야 한다"며 "이미 CI가 유출된 국민에게는 긴급 변경·재발급을 허용하는 대책이 필요하다"고 말했다.


이재현 글로벌이코노믹 기자 kiscezyr@g-enews.com