세줄 요약

우리은행이 NFT 플랫폼 구축을 맡긴 외부 개발업체에서 고객 닉네임과 CI 등 1만7551건이 유출됐다. 프로젝트 종료 뒤에도 정보가 남아 있었던 점이 문제로 지적됐고, 개보위와 금감원이 법 위반과 관리 책임을 살피고 있다.

• 외주 개발업체서 고객정보 1만7551건 유출
• 프로젝트 종료 뒤 잔존 정보 관리 부실 논란
• 개보위·금감원, 위법 여부와 재발대책 점검

외주업체 직원, 고객 닉네임·CI 유출
프로젝트 종료 뒤 고객정보 잔존 논란
개보위·금감원, 법 위반 여부 점검우리은행이 외부 개발업체에 제공한 고객 개인정보가 프로젝트 종료 뒤에도 업체 직원에게 남아 있다 유출된 것으로 파악됐다. 은행 내부 전산망이 뚫린 사고는 아니지만, 수탁업체에 넘긴 고객정보가 제대로 관리됐는지를 두고 은행권의 외주 관리 부실 문제가 다시 도마에 올랐다.

5일 금융권에 따르면 우리은행의 대체불가토큰(NFT) 플랫폼 구축 프로젝트를 수행한 외부 개발업체 직원이 고객 개인정보 1만 7551건을 개발자 플랫폼에 올리면서 정보가 유출됐다. 유출된 정보는 고객의 이용자 닉네임과 온라인상 개인 식별값인 연계정보(CI)다. 해당 정보는 우리은행이 2024년 9월 프로젝트 수행 과정에서 외부 개발업체에 제공한 것이다. 우리은행 관계자는 “업체 직원이 개발 관련 자료를 공유하는 과정에서 고객정보가 포함된 사실을 알지 못한 채 올린 것으로 보고 있다”고 전했다.

우리은행은 지난달 30일 유출 사실을 인지한 뒤 개발업체를 통해 관련 정보 접근을 차단했다. 정진완 우리은행장 명의의 사과문에서도 “이용자 닉네임은 회원 ID나 로그인 계정 정보가 아니며, CI만으로는 특정 개인을 알아볼 수 없다”고 설명했다. 다만 CI는 주민등록번호를 기반으로 생성돼 평생 변하지 않는 고유값인 만큼, 다른 개인정보와 결합되면 보이스피싱이나 명의도용 등에 악용될 가능성을 배제할 수는 없다.

우리은행은 출처가 불분명한 전화나 문자메시지 내 URL 클릭 등에 주의를 당부하고, 피해가 발생하면 신속히 확인해 보상하겠다는 입장이다. 은행에 따르면 이날까지 유출 정보가 온·오프라인에서 확산되거나 악용된 사례는 확인되지 않았다.

은행권에서 외주업체 등을 통한 고객정보 외부 유출 사고가 불거진 것은 이번이 처음이 아니다. 2013년 한국SC은행(현 SC제일은행) 외주 IT업체 직원이 고객정보 10만여건을, 한국씨티은행 내부 직원이 3만 4000여건을 빼내 대출모집인에게 넘긴 사실이 검찰 수사로 드러났다.



한편 이번 사고와 관련해 개인정보보호위원회는 외주 개발업체로부터 유출 신고를 접수하고 개인정보보호법 위반 여부를 들여다보고 있다. 금융감독원도 우리은행에 사고 경위 자체 점검과 재발방지대책 마련을 요구했다. 금감원은 필요하면 현장점검에 나서고, 위법 사항이 확인되면 검사로 전환할 방침이다. 관건은 프로젝트 종료 뒤 외부 개발업체에 고객정보가 남아 있었던 경위, 우리은행의 수탁업체 관리·감독 의무 이행 여부다.