소득 등 정보 긁어오던 방식 제동보유기관과 건건이 협의해서 사용대출·카드개설 등 고객 불편 우려 지금은 은행 앱에서 대출을 신청하면서 동의 버튼만 누르면 금융사가 국세청에서 소득정보를, 건강보험공단에서 재직정보를 알아서 가져온다. 가족관계를 확인해야 할 때도 관련 정보를 자동으로 불러온다. 고객이 서류를 하나하나 발급해 은행에 내야 하는 수고를 금융사가 대신해온 것이다. 오는 20일부터는 이런 ‘스크레이핑’(데이터 자동 추출)이 일부 제한된다. 금융사가 정보 보유기관과 협의하지 않고 고객 정보를 자동으로 가져올 수 없게 되기 때문이다. 개인정보보호위원회(개인정보위)는 개인정보보호법 시행령 개정에 따라 오는 20일부터 공공기관 등을 대상으로 ‘본인전송요구권’을 시행한다고 11일 밝혔다. 정부는 스크레이핑 대신 앞으로 필요한 정보만 정해진 전산망을 통해 전달받는 응용 프로그램 인터페이스(API) 방식으로 단계적으로 바꿀 계획이다. 스크레이핑이 택배기사에게 공동현관 비밀번호를 알려주는 방식이라면, API는 무인 택배함에 필요한 물건만 넣어두는 것과 비슷하다. 문제는 새 통로가 마련되기 전에 기존 통로가 좁아질 수 있다는 점이다. 은행·카드·보험·증권·핀테크는 계좌 개설과 대출부터 우대상품 가입까지 광범위하게 스크레이핑을 활용한다. API 시스템이 없거나 정보 보유기관이 스크레이핑을 허용하지 않으면 금융사가 자동으로 처리하던 일을 고객이 직접 해야 할 수 있다. 금융권 관계자는 “클릭 몇 번이면 끝났던 일을 다시 고객에게 시키면 쏟아지는 민원은 누가 감당하느냐”고 말했다. 금융권이 특히 걱정하는 곳은 법원이다. 대출이나 금융상품 가입 과정에서 가족관계증명서나 혼인관계증명서 등이 필요한 경우가 있지만 법원은 스크레이핑을 제한하겠다는 입장을 보인 바 있다. 이와 관련 개인정보위와 금융당국, 법원행정처가 만나 추가 협의를 진행할 계획이다. 핀테크 업계도 긴장하고 있다. 고객 데이터를 활용해 맞춤형 상품을 추천하는 서비스가 영향을 받을 수 있어서다. 새 규제로 고객 정보를 보관·활용하는 데 제약이 생길 수 있어 기존 서비스를 손봐야 할 가능성이 있다. 개인정보위는 금융권의 우려가 과도하다는 입장이다. 스크레이핑을 일시에 막는 것이 아니라 대체 시스템이 마련될 때까지 신청 기업과 정보 보유기관의 사전협의를 지원해 기존 방식도 한시적으로 허용한다. 오는 31일까지 사전협의 지원을 위한 3차 신청을 받는다. 맞춤형 서비스 역시 고객의 추가 동의를 받으면 가능하다는 설명이다.

“서류더미 이고지고 다니란건가” 소득 등 정보 긁어오던 방식 제동 보유기관과 건건이 협의해서 사용 대출카드개설 등 고객 불편 우려 개보위 “개인정보 유출·오남용 방지” “준비 기간 필요하면 단계적 전환” 지금은 은행 앱에서 대출을 신청하면서 동의 버튼만 누르면 금융사가 국세청에서 소득정보를, 건강보험공단에서 재직정보를 알아서 가져온다. 가족관계를 확인해야 할 때도 관련 정보를 자동으로 불러온다. 고객이 서류를 하나하나 발급해 은행에 내야 하는 수고를 금융사가 대신해온 것이다. 오는 20일부터는 이런 ‘스크레이핑’(데이터 자동 추출)이 일부 제한된다. 이용자의 아이디·비밀번호나 인증번호 등을 이용해 대리인이 해당 기관의 시스템에 접속해 정보를 가져오는 방식이 무분별하게 이뤄지고 있어 개인정보 유출과 오남용으로 이어지고 있다는 우려에서다. 금융사가 정보 보유기관과 협의하지 않고 고객 정보를 자동으로 가져올 수 없게 되기 때문이다. 개인정보보호위원회(개인정보위)는 개인정보보호법 시행령 개정에 따라 오는 20일부터 공공기관 등을 대상으로 ‘본인전송요구권’을 시행한다고 11일 밝혔다. 다만 제한적 스크레이핑으로 인한 시민 불편과 업계 불만을 해소하기 위해 6~7월에 이어 이달 말까지 추가로 사전협의 시범기간을 두고 신청하는 기업·기관에는 한시적으로 기존 스크레이핑을 유지할 수 있도록 허용한다는 방침이다. 스크레이핑을 일시에 막는 것이 아니라 대체 시스템이 마련될 때까지 신청 기업과 정보 보유기관의 사전협의를 지원해 기존 방식도 한시적으로 허용하겠다는 것이다. 맞춤형 서비스 역시 고객의 추가 동의를 받으면 가능하다는 설명이다. 정부는 스크레이핑 대신 앞으로 필요한 정보만 정해진 전산망을 통해 전달받는 응용 프로그램 인터페이스(API) 방식으로 단계적으로 바꿀 계획이다. 스크레이핑이 택배기사에게 공동현관 비밀번호를 알려주는 방식이라면, API는 무인 택배함에 필요한 물건만 넣어두는 것과 비슷하다. 문제는 새 통로가 마련되기 전에 기존 통로가 좁아질 수 있다는 점이다. 은행·카드·보험·증권·핀테크는 계좌 개설과 대출부터 우대상품 가입까지 광범위하게 스크레이핑을 활용한다. API 시스템이 없거나 정보 보유기관이 스크레이핑을 허용하지 않으면 금융사가 자동으로 처리하던 일을 고객이 직접 해야 할 수 있다. 금융권 관계자는 “클릭 몇 번이면 끝났던 일을 다시 고객에게 시키면 쏟아지는 민원은 누가 감당하느냐”고 말했다. 금융권이 특히 걱정하는 곳은 법원이다. 대출이나 금융상품 가입 과정에서 가족관계증명서나 혼인관계증명서 등이 필요한 경우가 있지만 법원은 스크레이핑을 제한하겠다는 입장을 보인 바 있다. 이와 관련 개인정보위와 금융당국, 법원행정처가 만나 추가 협의를 진행할 계획이다. 핀테크 업계도 긴장하고 있다. 고객 데이터를 활용해 맞춤형 상품을 추천하는 서비스가 영향을 받을 수 있어서다. 새 규제로 고객 정보를 보관·활용하는 데 제약이 생길 수 있어 기존 서비스를 손봐야 할 가능성이 있다. 개보위 “금융권 우려 과도”“국민 서비스 갑자기 중단 아냐”이달 말까지 3차 사전협의 추가 신청신청 기업·기관 한해 기존 방식 유지 택배기사, 아파트 관리사무소에 인적사항 확인 후 세대 내 출입해야API 개발되면 ‘무인택배함’ 설치 필요개인정보위는 금융권의 우려가 과도하다는 입장이다. 개인정보위는 스크레이핑이 편리하고 빠르게 서비스를 개발하는 장점도 있겠지만 인증정보를 제3자에게 맡기거나 필요한 범위를 넘어서는 무분별한 스크레이핑 관행으로 인해 개인정보 유출과 오남용 등 보안상 위험이 존재한다고 강조했다. 개인정보위 관계자는 “기존 스크레이핑 방식은 이용자의 인증정보를 대리인이 위임받아 사용하는 구조가 많아 과도한 정보 수집, 인증 정보 유출, 목적 외 이용 등의 우려가 있다”며 “이번 개선은 정보주체인 개인이 원하는 정보만 안전하게 전송받을 수 있도록 전송 범위를 명확히 하고 보안 수준을 높이는 데 목적”이라고 밝혔다. 이어 “한번 스크레이핑돼 수집된 데이터를 개인이 통제하는 것도 곤란하고 과도한 스크레이핑 시도로 인한 트래픽 부하로 홈페이지 서비스가 지연·중단되는 문제도 발생할 수 있다”고 지적했다. 하지만 개인정보위는 업계와 생활 불편을 우려한 비판적 여론이 조성되자 여전히 확인되지 않은 수요까지 폭넓게 파악해 필요한 서비스가 누락되지 않도록 단계적으로 전환을 지원하겠다고 한발 물러섰다. API 방식으로 완전 전환하거나 공공기관이 시스템 개발을 완료하는 시점에 대해서도 열어뒀다. 개인정보위 관계자는 “6~7월 진행된 1·2차 시범운영 과정에서 다양한 분야의 스크레이핑 수요가 확인됨에 따라 아직 사전협의를 신청하지 못한 기업·기관의 수요를 추가로 파악해 국민이 이용 중인 서비스가 중단되지 않도록 안전한 전송방식 전환을 지원하겠다”고 설명했다. 1·2차 시범 기간 때는 약 700건의 사전협의 수요가 접수됐다. 특히 3차 신청 때는 은행 등 기존 신청 대상뿐 아니라 소규모 사업자, 마이데이터 자격 요건을 갖추지 않은 사업자도 신청할 수 있도록 해 현실적으로 적용 가능한 안전관리 방안을 검토하기로 했다. 마이데이터는 본인 동의를 바탕으로 여러 기관에 흩어져 있는 ‘내 정보’를 내가 원하는 곳으로 보내 활용할 수 있게 하는 제도다. 은행·카드사·보험사 등에 흩어져 있는 각각의 내 금융정보를 내가 동의하면 이를 한 금융앱으로 모아서 자산·대출·소비 내역을 한꺼번에 조회하거나 맞춤형 서비스를 받는 식이다. 개인정보위 관계자는 “사전협의를 통해 준비기간이 필요한 경우 단계적으로 전환해 나갈 계획”이라면서 “API 시스템 개발은 공공기관마다 다를 수 있기 때문에 완료 시점을 연내 등 따로 못 박지 않았다”고 말했다. API 시스템이 정착되기 전까지 당분간 아파트 등으로 물건을 배송하는 택배기사나 이들을 관리하는 택배업체 등은 개인정보위에 자신의 신분 인증을 신청해 허가를 받아야 한다. 아파트 관리사무소는 택배기사의 인적사항을 확인 후 공동현관을 통한 세대 내 출입을 허가하거나 특정 공용구역을 지정해 물품 임시보관 지원 등을 해야 한다. 개인정보위 관계자는 “안전한 개인정보 체계를 만들기 위해 API를 통해 아파트 관리사무소에서 무인택배함을 갖추는 노력을 해야 한다”고 말했다. 양청삼 개인정보위 사무처장은 “본인전송요구권의 목적은 스크레이핑을 일률적으로 금지해 국민이 이용하는 서비스를 갑자기 중단시키는 것이 아니라 필요한 서비스를 이어가면서 개인정보 전송방식을 보다 안전하게 바꾸자는 것”이라며 “아직 신청하지 않은 기업·기관은 이번 기간에 적극 사전협의를 신청해 안전한 전환에 동참해 주길 바란다”고 말했다.

외부 불법접근… 이름·연락처 등 46만여건계좌정보 2972건·카드정보 317건도 유출경제 유튜브 채널 ‘삼프로TV’ 애플리케이션에서 개인정보 46만여건이 유출됐다. 회사 측에 따르면 외부 행위자의 불법 접근으로 일부 이용자의 계좌정보와 신용카드 정보까지 노출됐다. 9일 정보통신업계에 따르면 삼프로TV 운영사 이브로드캐스팅은 이달 초 외부 행위자가 앱에 불법적으로 접근해 다른 이용자의 개인정보를 무단 열람한 정황을 확인하고 조사에 착수했다. 회사는 현재까지 유출된 개인정보를 46만여건으로 추산하고 연락처를 보유한 회원에게 사고 사실을 개별 통지했다. 유출 항목은 회원별로 다르며 이름과 프로필, 휴대전화번호, 이메일, 주소, 서비스 이용기록, 기기정보 등이 포함됐다. 은행명·계좌번호·예금주명 등 계좌정보는 2972건, 카드명·마스킹된 카드번호 등 신용카드 정보는 317건 유출된 것으로 파악됐다. 주소 정보는 2건이었다. 주민등록번호 등 고유식별정보와 민감정보는 회사가 수집하지 않아 유출되지 않았다고 이브로드캐스팅은 설명했다. 회사는 개인정보보호위원회와 한국인터넷진흥원(KISA)에 사고를 신고하고 관련 접근을 차단하는 등 보안 조치를 진행했다. 이브로드캐스팅은 개인정보 유출에 따른 2차 피해 가능성에 주의를 당부했다. 회사는 “삼프로TV를 사칭한 전화나 문자메시지 등에 각별히 유의해달라”며 “출처가 불분명한 연락을 받을 경우 링크나 첨부파일을 클릭하지 말고 삭제·신고해달라”고 밝혔다.

쿠팡이 개인정보 유출에 따른 역대급 과징금 여파로 상반기에만 1조 2000억원에 육박하는 적자를 떠안게 됐다. 다만, 이탈 고객의 복귀 신호는 뚜렷했다. 쿠팡 모회사인 쿠팡Inc가 5일 미국 증권거래위원회(SEC)에 제출한 2분기 연결실적 보고서에 따르면 2분기 매출은 88억 5600만 달러(약 13조 3007억원)로 전년 동기 대비 4% 늘었지만, 영업손실은 5억 5600만 달러(8350억원)를 기록하며 지난해 2분기 영업이익 2093억원에서 적자로 전환했다. 이는 2021년 상장 이후 분기 기준 최대 손실이다. 가장 큰 적자의 원인은 개인정보보호위원회가 지난 6월 3000만명이 넘는 회원정보 유출 사고에 부과한 과징금 6247억원이다. 고객 보상 비용으로 수익성이 악화됐던 1분기에 더해 상반기 누적 영업손실은 1조 1895억원에 달한다. 상반기 적자가 1조원을 넘어선 것은 창사 후 처음이다. 과징금을 제외한 실질 영업손실은 약 2192억원 수준으로, 이탈 고객을 다시 끌어오기 위한 마케팅 비용과 물류 고정비 부담이 주된 요인으로 꼽혔다. 다만 소위 ‘탈팡’했던 고객은 대거 돌아왔다. 쿠팡에 따르면 프로덕트 커머스 활성 고객(해당 기간 제품을 한 번이라도 산 고객) 수는 2470만명으로 지난 1분기보다 80만명 늘었다. 개인정보 유출 사고 발생 전인 지난해 2분기보다도 3% 증가했다. 김범석 쿠팡Inc 의장은 이날 콘퍼런스콜에서 “떠났던 고객들이 돌아오고 있으며 지출 수준도 회복하고 있다”면서 “아직 돌아오지 않은 고객을 다시 유치하기 위해 상품 확대, 서비스 개선을 이어가겠다”고 말했다. 다만 단기간 실적 회복은 쉽지 않을 전망이다. 최근 발생한 인천 물류센터 화재 손실 규모는 약 3500억원으로 추산됐으며 이는 오는 3분기부터 실적에 반영된다. 또 이날 공시에 따르면 쿠팡은 국세청으로부터 약 3000억원의 추가 세액 통지를 받았으나 이의 절차를 진행할 계획이다. 여기에 공정거래위원회의 최혜대우·끼워팔기 의혹 조사도 남아 있어 추가 과징금이 나올 가능성도 배제하기 어렵다.

쿠팡이 개인정보 유출 사태 과징금 여파로 지난 2분기 8300억원이 넘는 적자를 낸 것으로 나타났다. 2021년 상장 이후 분기 기준 최대 규모 영업손실이다. 5일 쿠팡 모회사인 쿠팡Inc가 미국 증권거래위원회(SEC)에 제출한 실적보고서에 따르면, 2분기 매출은 88억 5600만 달러(약 13조 3007억원)로 전년 동기 대비 4% 늘었다. 반면 영업손실은 5억 5600만 달러(약 8350억원)를 기록해 전년 동기 2093억원 흑자에서 적자 전환했다. 2분기 손실액은 지난해 영업이익(6790억원)보다도 많다. 적자 전환의 핵심 원인은 지난해 말 발생한 개인정보 유출 사고에 따른 과징금 반영이다. 앞서 개인정보보호위원회는 지난 6월 개인정보 유출 사고에 대해 과징금 6246억 8100만원과 과태료 1680만원을 부과했다. 이로써 쿠팡Inc의 올해 상반기 누적 영업손실은 7억 9800만달러(약 1조 1895억원)에 달하게 됐다. 상반기 적자 규모가 1조원을 넘어선 것은 쿠팡 창사 이래 처음이다. 과징금을 제외한 실질 영업손실은 약 2192억원 수준으로, 이탈 고객을 다시 끌어오기 위한 마케팅 비용과 물류 고정비 부담이 주된 요인으로 꼽혔다. 다만 이른바 ‘탈팡’했던 고객 복귀세는 뚜렷하게 나타났다. 쿠팡에 따르면 2분기 활성 고객 수는 2470만명으로 전년 동기 대비 3%, 전분기 대비로는 80만명 늘었다. 김범석 쿠팡Inc 의장은 이날 실적 콘퍼런스 콜에서 “개인정보 사고 이후 떠났던 고객들이 돌아오고 있으며 지출 수준도 회복하고 있다”면서 “아직 돌아오지 않은 고객들을 다시 유치하기 위해 꾸준히 노력을 할 것이며, 상품 확대와 서비스 개선 등을 통해 고객이 비용과 시간을 절약하도록 노력을 이어가겠다”고 말했다. 아울러 전략적 마케팅 비용 부담이 줄어드는 내년부터 성장률과 마진 구조가 정상화될 것이라고 전망했다.

매출 13.3조원 성장세 지속 쿠팡의 모회사인 쿠팡Inc가 올해 2분기 5억 5600만 달러(약 8350억원)의 영업손실을 기록했다고 4일(현지시간) 공시했다. 미국 뉴욕증시 상장사인 쿠팡Inc는 이날 미국 증권거래위원회(SEC)에 이같은 2분기 연결실적 보고서를 제출했다. 2분기 영업손실은 지난해 같은 기간 영업이익 1억 4900만 달러(약 2093억원)에서 적자 전환했다. 당기순손실도 5억 7000만 달러(약 8560억원)로 지난해 2분기 당기순이익 3100만 달러(약 435억원)에서 적자로 돌아섰다. 쿠팡Inc의 2분기 적자 규모는 2021년 뉴욕증시 상장 이후 분기 기준 역대 최대다. 쿠팡은 한국 개인정보보호위원회가 부과한 약 4억 1000만 달러 규모 행정 과징금이 이번 분기 실적에 반영됐다고 설명했다. 개인정보보호위원회는 지난 6월 개인정보 유출을 이유로 쿠팡에 과징금 6246억 8100만원과 과태료 1680만원을 부과했다. 다만 매출은 성장세를 이어갔다. 올해 2분기 매출은 88억 5600만 달러(약 13조 3007억원)로 전년 동기(85억 2400만 달러)보다 4% 증가했다. 환율 변동 영향을 제외한 고정환율 기준으로는 10% 성장했다. 주력사업인 로켓배송 등을 포함한 프로덕트 커머스 부문 매출은 74억 2500만 달러(약 11조 1540억원)로 전년 동기 대비 1% 늘었다. 고정환율 기준으로는 8% 성장했으며, 활성 고객 수는 2470만명으로 전년보다 3% 증가했다. 쿠팡이츠 등 신사업을 포함한 성장사업 부문 매출은 14억 3100만 달러(약 2조 1467억원)로 전년 동기 대비 20% 증가했다.

1만 6000여명의 개인정보가 유출되고 무단 소액결제 피해가 발생한 KT가 540억원의 과징금을 물게 됐다. 조사 과정에서 로그 기록을 삭제하고 거짓 자료를 제출하며 조사를 방해한 혐의로 경찰 수사도 받게 됐다. 개인정보보호위원회는 30일 KT에 개인정보보호법 위반 혐의로 과징금 539억 7900만원과 시정명령·개선 권고·공표 명령을 부과했다고 밝혔다. 해커는 KT의 유실된 소형기지국 ‘펨토셀’을 통해 KT 이동통신망에 접속해 이용자의 개인정보를 가로챈 것으로 드러났다. 이용자의 이름과 생년월일을 이용해 결제 인증 문자메시지를 빼돌려 무단으로 소액결제를 했다. 이 과정에서 이용자 1만 6647명의 휴대전화 번호와 단말기 식별번호(IMEI)가 유출됐고, 총 368명이 약 2억 4000만원의 소액결제 피해를 입었다. KT는 펨토셀의 보안 관리를 철저히 하지 않은 것으로 확인됐다. 접속 인터넷프로토콜(IP)을 제한하지 않았고, 관리서버에 접근할 수 있는 우회 접속 경로도 발견됐다. 해커가 침투했을 때 대응 체계도 마련돼 있지 않았다. 이 때문에 해커가 2024년 10월부터 지난해 9월까지 약 11개월간 KT 내부망에 접속했음에도 소액결제 피해 민원이 발생한 뒤에야 해커의 비정상적인 접속 사실을 파악할 수 있었다. 악성코드 감염 사고가 일어난 사실도 확인됐다. KT는 2024년 3월 로밍렌탈서비스 홈페이지로 해커가 침투해 38대의 서버가 BPF도어 등 다수의 악성코드에 감염된 사실을 파악하고도 신고하지 않았다. 아울러 개인정보위는 당국이 조사에 나서기 전 미리 서버를 폐기한 LG유플러스도 공무집행을 방해한 혐의로 경찰에 고발했다. KT는 “개인정보위의 처분 결과를 무겁게 받아들인다”며 “고객과 국민께 심려와 불안을 끼쳐드린 점을 다시 한번 고개 숙여 깊이 사과드린다”고 밝혔다. KT는 개인정보위 의결서를 수령한 뒤 처분 사유와 세부 내용을 면밀히 검토해 향후 대응 방향을 정할 방침이다. LG유플러스는 “같은 사안에 대해 경찰 수사가 진행 중이며 수사에 성실히 임하고 있다”고 밝혔다. 다만 별도의 해명이나 법적 대응 계획은 내놓지 않았다.

2차 피해 발생… 개보위 “중대한 위반” 11개월 간 해커 들락날락해도 몰랐다 인증서·접속 서버 관리 총체적 부실 기록 삭제·허위 진술…조사 방해 고발 LG유플러스, ‘서버 폐기’ 증거 인멸 시도 공무집행 방해로 LGU+ 경찰 수사 의뢰 1만 6000여명의 개인정보가 유출되고 무단 소액결제 피해가 발생한 KT가 540억원의 과징금을 물게 됐다. 조사 과정에서 로그 기록을 삭제하고 거짓 자료를 제출하며 조사를 방해한 혐의로 경찰 수사도 받게 됐다. 개인정보 유출 사건에 대한 조사 착수 전 서버 폐기 등 증거 인멸을 시도한 LG유플러스에 대해서도 수사 의뢰했다. 개인정보보호위원회는 30일 KT에 개인정보보호법 위반 혐의로 과징금 539억 7900만원과 시정 명령·개선 권고·공표 명령을 부과했다고 밝혔다. 해커는 KT의 유실된 소형기지국 ‘펨토셀’을 통해 KT 이동통신망에 접속해 이용자의 개인정보를 가로챈 것으로 드러났다. 이용자의 이름과 생년월일을 이용해 결제 인증 문자메시지와 자동응답시스템(ARS) 정보를 빼돌려 무단으로 소액결제를 했다. 이 과정에서 이용자 1만 6647명의 휴대전화 번호와 단말기 식별번호(IMEI)가 유출됐고, 알뜰폰 가입자를 포함한 총 368명이 약 2억 4000만원의 소액결제 피해를 입었다. KT는 펨토셀의 보안 관리를 철저히 하지 않은 것으로 확인됐다. 접속 인터넷프로토콜(IP)을 제한하지 않았고, 관리서버에 접근할 수 있는 우회 접속 경로도 발견됐다. 해커가 침투했을 때 대응 체계도 마련돼 있지 않았다. 이 때문에 해커가 2024년 10월부터 지난해 9월까지 약 11개월간 KT 내부망에 접속했음에도 소액결제 피해 민원이 발생한 뒤에야 해커의 비정상적인 접속 사실을 파악할 수 있었다. 악성코드 감염 사고가 일어난 사실도 확인됐다. KT는 2024년 3월 로밍렌탈서비스 홈페이지로 해커가 침투해 38대의 서버가 BPF도어 등 다수의 악성코드에 감염된 사실을 파악하고도 신고하지 않았다. 해커가 임직원과 협력사 직원 정보 일부를 조회·유출한 정황도 확인됐다. 또 침해 서버 로그를 삭제한 뒤 보존 자료가 없다고 했다가 뒤늦게 제출해 개인정보위는 이를 조사 방해로 보고 고발하기로 했다. 개인정보위는 KT의 위반행위 정도를 ‘중대한 위반’으로 판단해 과징금을 부과하고 무선통신망 장비 보안 강화와 개인정보 보호 체계 정비를 명령했다. 양청삼 개인정보위 사무처장은 브리핑에서 “2차 피해가 있다는 점에서 매우 심각한 요소로 봤다”며 “개인정보처리자는 개인정보 유출이 국민 생명·재산에 직접적인 피해로 이어질 수 있다는 점을 무겁게 인식하고 유출사고가 나지 않게 책임 있는 노력을 해야 한다”고 말했다. 그는 “과징금 산정은 무선통신 매출을 기본으로 잡았고 LTE(4세대 이동통신 기술)와 5G 매출을 종합적으로 포함시켰다”고 덧붙였다. 아울러 개인정보위는 당국이 조사에 나서기 전 미리 비밀번호 관리시스템(APPM) 서버를 재설치하거나 서버를 폐기해 유출 경위와 추가 유출 확인을 어렵게 한 LG유플러스를 증거 은닉·폐기에 따른 공무집행방해 혐의로 고발했다. 개보위 관계자는 “LG유플러스는 위원회 조사 착수 전 서버 폐기 등의 증거·은닉 행위가 이뤄져 개인정보보호법상 조사방해 요건이 안돼 형법상 공무집행 방해로 수사기관에 수사를 의뢰했다”고 설명했다. ‘조사 전’ 증거 은닉·폐기 형사 처벌 추진매출 3% 과징금 부과…신고포상금제 도입비협조·시정명령 미이행, 이행강제금 부과개인정보위는 이번 사건을 계기로 향후 재발 방지와 조사 실효성을 높이기 위해 제도 개선을 추진하기로 했다. 조사 착수 전 증거를 은닉·폐기한 경우 형사처벌하거나 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 하고 신고포상금 제도도 도입할 계획이다. 또 조사에 비협조적이거나 시정명령을 미이행한 사업자에 대해서는 하루 매출액의 0.3%를 이행강제금으로 부과하고 침해사고 발생 시 자료 보전명령을 내릴 수 있도록 개인정보보호법 개정도 추진할 방침이다. 개보위는 “사고 은폐와 조사 방해라는 일부 기업의 고질적 관행에 대해 경종을 울리고 사고를 은폐하더라도 끝까지 법적 책임을 물어 이런 선택이 더 이상 기업에 유리하지 않다는 인식을 정착시켜 나가겠다”고 밝혔다. KT는 이날 과징금 부과 등과 관련해 “개인정보위의 처분 결과를 무겁게 받아들인다”며 “고객과 국민께 심려와 불안을 끼쳐드린 점을 다시 한번 고개 숙여 깊이 사과드린다”고 밝혔다. KT는 개인정보위 의결서를 수령한 뒤 처분 사유와 세부 내용을 면밀히 검토해 향후 대응 방향을 정할 방침이다. LG유플러스는 증거 인멸 의혹에 “같은 사안에 대해 경찰 수사가 진행 중이며 수사에 성실히 임하고 있다”고 밝혔다. 다만 별도의 해명이나 법적 대응 계획은 내놓지 않았다.

온라인 쇼핑 사이트의 장바구니를 몰래 들여다보는 등 이용자 945만명의 온라인 접속과 활동 행태를 수집해 맞춤형 광고에 무단 활용한 틱톡이 100억원대 과징금을 물게 됐다. 애플은 아이폰·아이패드 등 기기의 음성 인식 서비스 시리(Siri)를 통해 사용자의 음성 녹음을 무단으로 이용하다 2억원대 과징금을 부과받았다. 개인정보보호위원회는 지난 22일 열린 전체회의에서 개인정보보호법과 구 정보통신망법을 위반한 틱톡에 103억 600만원, 애플 계열사 2곳에 2억 5200만원의 과징금을 부과하고 시정명령을 내렸다고 23일 밝혔다. 틱톡은 타사 웹과 앱에서 무단으로 수집한 이용자의 구매·클릭·검색 등 행태정보를 적법한 근거 없이 맞춤형 광고에 활용하고 국외로 이전한 것으로 드러났다. 구체적으로 광고·콘텐츠 성과 분석 서비스를 제공하면서 국내 온라인 기업 7만 1000곳에 행태정보 수집 도구를 배포해 이용자의 구매·검색·콘텐츠 조회·다운로드 기록을 회원 계정과 연결하고 광고에 활용했다. 이 과정에서 국내 이용자 945만명에게 수집 사실을 명확히 알리지 않고 다른 개인정보 동의와 묶어 ‘필수 동의’를 받아 이용자의 선택권을 제한했다. 틱톡 라이트도 포인트 인출 과정에서 이용자 개인정보를 계열사에 넘기면서 이전 항목과 목적, 보유 기간 등을 알리지 않았다. 애플 계열사 애플 디스트리뷰션 인터내셔널(ADI)은 시리 이용 과정에서 수집한 음성 녹음과 이를 텍스트로 변환한 ‘전사문’을 이용자 동의 없이 서비스 개선에 활용했다. 또 다른 계열사 애플 서비스(ASPL)는 이용자 개인정보를 미국 현지 계열사로 넘기면서 이전 항목과 목적, 보유 기간 등을 충분히 알리지 않았다. 다만 애플은 조사 과정에서 전사문 활용에 대한 선택권을 부여하고 개인정보 필터링을 도입하는 등 위법 사항을 시정했다. 개인정보위 관계자는 두 기업의 과징금에 차이가 나는 이유에 대해 “틱톡은 국내 이용자를 대상으로 한 맞춤형 광고 매출 등을 기준으로 과징금이 산정됐고, 무료 서비스인 시리는 정액 과징금(상한 4억원)이 적용됐다”고 설명했다.

도널드 트럼프 1기 행정부 출신 인사가 쿠팡 사태와 관련해 한국 정부가 미국 기업을 무한 현금 인출기(bottomless piggy bank) 취급을 하고 있다고 비판했다. 트럼프 1기 당시 백악관 비서실장을 지낸 마크 메도우스는 22일(현지시간) 보수 성향의 온라인 매체인 ‘데일리 콜러’에 기고한 글에서 “한미 동맹은 없어서 안 될 관계지만 뒤편에서 상호 신뢰 기반을 조용히 훼손하고 있다”며 쿠팡 사태를 비난했다. 그는 “미국이 한국 대기업들에 시장을 개방해 주기를 기대한다면 한국 정부도 미 테크 기업을 ATM 취급해서는 안 된다”며 “미국 내 한국 기업에는 관용을 베풀고 한국 내 미 기업에 대해선 처벌을 가하는 이중 잣대가 지속되면 어떤 동맹도 지속될 수 없다”고 주장했다. 앞서 메도우스는 쿠팡 개인 정보 유출 사고가 발생한 뒤 “미 당국이 불균형적이고 정치화된 대응에 우려를 표명했음에도 불구하고 한국 정부가 단속을 강화했다”고 지적한 바 있다. 그는 개인정보보호위원회(PIPC)가 역대 최고 수준인 약 6250억원의 과징금을 부과한 사실을 언급하며 “이러한 조치는 시작에 불과하다. 공정위(KFTC) 등 11개 기관이 40건 이상의 조사를 개시하는 등 한국 정부는 쿠팡을 상대로 총력전을 펼쳤다”고 목소리를 높였다. 이어 “쿠팡이 한국 정부와 위험한 합동 작전을 벌인 직후 규제 당국이 최고경영자(CEO)에 대한 형사 고발을 압박했다”며 “한국 정부는 나중에 작전에 관여한 사실도 부인했는데 이는 동맹국으로서의 태도가 아니다”고 지적했다. “한국이 현대차와 쿠팡에 이중 잣대 적용”메도우스는 한국 정부가 현대자동차와 쿠팡을 차별 대우하고 있다는 취지의 주장도 내놓았다. 그는 기고문에서 지난해 조지아주(州)의 현대차·LG에너지솔루션 공장에 대한 이민 당국의 급습 사태를 언급하며 “미국은 협력적 파트너십을 유지하기 위해 한국 정부의 관용 요청을 수용했다. 하지만 격분한 한국 정부는 단속을 ‘배신’이라고 규탄했다”고 주장했다. 한국 정부가 미국에는 관용을 요구하면서 미국 기업인 쿠팡에는 과도한 규제를 가한다는 것이다. 메도우스는 하원 재직 시에는 공화당 내 강경 보수 모임인 프리덤 코커스(Freedom Caucus) 의장을 맡는 등 보수 진영의 핵심 인물로 활동했다. 현재는 일선에서 물러났지만 트럼프 1기 행정부 백악관 비서실장을 지낸 최측근으로서 보수 진영의 대표적인 논객으로 활동하고 있다. 그는 비서실장을 지냈던 당시 미국 우선주의와 동맹국의 상호주의를 강조했던 트럼프 대통령의 핵심 참모 중 한 명으로 꼽힌다. 백악관 “한국 정부가 쿠팡 표적삼아, 깊이 우려”한편 백악관은 이달 초 연방 하원 법사위원회의 쿠팡 관련 보고서에 대한 입장을 묻는 국내 언론의 질의에 “트럼프 행정부는 한국 정부가 미국 기술 기업들을 차별적으로 표적으로 삼는 상황을 깊이 우려하고 있다”고 답했다. 이어 “어떤 합리적 잣대를 적용하더라도 이재명 정부는 쿠팡을 콕 찍고 있다(single out)”고 덧붙였다. 당시 백악관의 입장은 쿠팡의 로비 대상 중 하나인 연방 하원의 쿠팡 관련 내용을 상당 부분 지지하는 것으로 해석돼 논란이 일었다. 이에 우리 외교부는 해당 보고서에 대해 쿠팡 측의 주장만을 일방적으로 반영하고 있어서 사실과 다르고, 한국 정부가 그간 미 법사위 측에 설명한 입장 및 사실이 반영되지 않았다며 유감을 표했다. 국가정보원도 이 보고서에 담긴 쿠팡 측 주장이 “명백한 허위”라는 반박 입장문을 낸 바 있다. 현재 한국은 한미 외교·통상 분야의 시급한 과제로 무역법 301조 조사에 따른 추가 관세 차단과 함께 쿠팡 사태를 둘러싼 이견 조율을 꼽고 있다.

서울시가 공공자전거 따릉이 회원정보 유출 피해를 입은 시민에게 30일 정기권을 보상으로 제공한다. 따릉이를 운영·관리하는 서울시 산하 서울시설공단은 21일 개인정보가 유출된 462만 명에게 아이디(ID)와 휴대전화 번호, 생년월일, 성별, 체중, 이메일, 우편번호, 주소, 보호자 휴대전화 번호·생년월일·성별 등 개인별 개인정보 실제 유출 항목과 유출 경위, 피해 예방 수칙 등이 담긴 안내 문자를 보낸다고 밝혔다. 안내 문자는 이날부터 하루 120만 건씩 순차 발송된다. 문자 수신을 거부한 경우에는 전달되지 않을 수 있다. 콜센터(1599-0120)나 이메일(seoulbike@sisul.or.kr)로 문의하면 본인의 유출 항목을 확인할 수 있다. 개인정보가 유출된 회원에게는 5000원 상당의 따릉이 30일 정기권(하루 1시간 이용쿠폰)을 제공한다. 8월 중 따릉이 앱을 통해 쿠폰으로 지급된다. 앞서 시는 2024년 6월 따릉이 앱이 분산서비스거부(디도스) 공격을 받아 회원 개인정보가 유출됐다고 발표했다. 이후 경찰청·개인정보보호위원회와의 협의를 거쳐 개인별 유출 항목을 확정했다.

李 “제재금 올려야 기업들 나서”‘과징금의 30%’ 신고 포상금 도입기초연금, 중위소득 토대로 선정공무원연금 수급자도 지급 추진만 14세 미만 SNS 가입 제한 검토고도비만 치료제 건보 적용 고려 이재명 대통령이 16일 정부가 기업의 개인정보 유출 사고에 대한 제재 강화에 나선 것과 관련해 “이는 명확한 대한민국 정부의 방침으로 어떤 (특정) 기업의 특성을 고려한 것이 아닌 법과 방침에 따라 하는 것”이라고 밝혔다. “한국 정부가 쿠팡의 정보 유출 사건을 전방위로 조사하고 제재를 내리며 미국 기업을 차별 대우했다”는 도널드 트럼프 미국 행정부와 미 의회의 주장을 반박한 것이다. 이 대통령은 이날 청와대 영빈관에서 열린 업무보고에서 “최근 정보 유출에 대한 과징금 액수가 올라갔는데 이를 두고 ‘나만 표적으로 해서 이러는 것 아니냐’는 주장을 하는 기업도 있는 것 같더라”라며 이렇게 말했다. 이 대통령은 “개인정보 유출에 대해 제재금을 대규모로 올려야 기업들이 개인정보 보호 활동을 할 것 아닌가”라며 “개인정보보호위원회(개보위)가 이런 점을 충분히 설명하면 좋겠다”고 덧붙였다. 개보위는 이날 개인정보 유출을 신고한 사람에 대한 포상금 제도를 도입하겠다고 보고했다. 송경희 개보위원장은 포상금 규모에 대해 “최종 확정된 것은 아니지만 다른 부처 사례를 참고해 과징금의 30% 정도를 검토하고 있다”고 밝혔다. 정부는 만 14세 미만의 소셜미디어(SNS) 가입을 제한하는 방안을 검토한다고 밝혔다. 국내 청소년의 유튜브 등 SNS 과몰입 현상을 예방하려는 차원에서다. 김종철 방송미디어통신위원장은 업무보고에서 “청소년의 SNS 과몰입 문제는 전 세계적인 현상으로 사회적 관심도가 매우 높다”며 “청소년 나이에 따른 단계별 규제를 검토하고 있다”고 말했다. 유럽연합(EU)은 아동의 SNS 플랫폼 접근을 제한하는 법안을 올여름 이후 발표할 예정이다. 이 대통령은 이날 일부 장관과 공공기관장을 겨냥해 “아직도 자기가 할 일이 뭔지 모르는 사람들이 있다”며 “있을 수 없는 일”이라고 경고했다. 이 대통령은 “혹시라도 앞으로 업무보고에서 업무 파악을 못 한 부분이 있다면 밤을 새워서라도 자기 업무의 최소한은 파악하고 오라고 미리 경고의 말씀을 드린다”고 말했다. 보건복지부 업무보고에선 기초연금 선정 기준의 문제점을 집중적으로 짚었다. 이 대통령은 “정말 지원받아야 할 사람은 빠지고, 받지 않아도 될 사람이 받는 문제를 개선해야 한다”며 “이미 받고 있는 연금을 깎는 것은 문제가 있다”고 지적했다. 이에 정은경 복지부 장관은 “하후상박 원칙은 정해져 있다”며 “수급자를 상대평가로 70%에 고정하지 않고 기준 중위소득을 토대로 선정하는 방식으로 개편하는 방향을 마련하고 있다”고 설명했다. 공무원·군인·사학연금 등 직역연금 수급자와 배우자 가운데 저소득자에게 기초연금을 지급하는 방안도 검토한다. 현재는 재산이나 소득이 아무리 적어도 직역연금 수급자라면 당사자는 물론 배우자까지 기초연금을 받을 수 없다. 정 장관은 “직역연금액이 적어 저소득층으로 분류되는 수급자와 배우자도 있다”며 “이들에게 기초연금을 지급할 수 있도록 제도를 개선할 여지가 있는지 검토하고 있다”고 말했다. 아울러 정 장관은 “최근 요구가 많은 고도비만 치료제의 건강보험 적용 가능성과 필요성도 검토하고 있다”고 밝혔다.

이재명 대통령은 16일 “최근 개인정보 유출 과징금 액수 올라갔는데 거기에는 어떤 기업의 특성을 전혀 고려하지 않았다”고 밝혔다. 이 대통령은 이날 청와대 영빈관에서 개인정보보호위원회의 업무보고를 받으며 “개인정보 유출이나 악용에 대해 제재금을 대규모로 대폭 올려서 개인정보 보호 비용을 훨씬 초과하게 이렇게 만들어야 한다”며 이처럼 말했다. 이어 과징금 액수 증액에 대해 “여기에 대해 ‘나만 표적으로 해서 이런 것 아니야’ 이런 주장하는 기업이 있는 것 같다”며 “이에 대해 대한민국 정부의 방침이 제재를 강화한다는 것이며 어떤 기업의 특성을 전혀 고려하지 않고 법과 방침에 따라 한 것이라는 점을 충분히 설명하면 좋겠다”고 강조했다. 이는 쿠팡의 개인정보 유출과 관련한 정부의 제재 방침과 관련해 미국 도널드 트럼프 행정부가 미국 기업인 쿠팡을 차별한다고 주장하는 것에 대한 반박으로 풀이된다. 이 대통령은 방송미디어통신위원회 업무보고에 앞서 모두 발언에서는 “방송·통신을 진흥하는 것도 중요한데 악용되지 않게 하는 게 훨씬 더 중요한 역할”이라며 “허위 가짜 정보를 악용해 사적 이익을 취하거나 아니면 정치적 공격 수단으로 삼거나 아니면 사회적 분열 갈등을 촉발하는 그런 부분에 대해 규제기관으로서 역할을 정말 잘해야 한다”고 밝혔다. 이 대통령은 가짜뉴스에 대한 폐해를 집중적으로 지적했다. 이 대통령은 “가짜 정보 또 허위 선동에 의한 사회 갈등 그로 인한 사회적 비용이 너무 크지 않나”라고 했다. 이어 “예를 들면 합리성을 다 잃어버리지 않나. 오로지 편만 생기고 그래서 진영을 갖춰서 단단하게 뭉쳐서 서로 싸우고 거기는 진실이고 합리고 필요 없는 것”이라며 “오로지 나의 이익과 너의 이익 이런 것만 있다”고 했다. 이 대통령은 “(가짜 정보에 대한) 일정한 규범과 질서를 만들어내는 게 방통위가 할 일”이라며 “불법과 허위 조작 정보 유통에 대해 아주 철저하게 대응하고 예비, 예방할 수 있도록 노력해달라”고 했다.

이재명 대통령은 15일 청와대 영빈관에서 재정경제부를 시작으로 모두 9차례에 걸쳐 국민과 함께하는 두 번째 업무보고를 주재한다. 14일 청와대에 따르면 이번 업무보고 슬로건은 ‘삶으로 체감하는 대체불가 대한민국’이다. 업무보고 대상 기관은 국무조정실과 16부·6처·18청·7위원회를 포함해 140개 공공기관이다. 구체적으로 10일에는 재정경제부(국세청·관세청·조달청)·국가데이터처·금융위원회·기획예산처가 약 100분간 업무보고를 한다. 이어 16일에는 과학기술정보통신부(우주항공청)·방송미디어통신위원회·개인정보보호위원회·국토교통부(행정중심복합도시건설청·새만금개발청)·농림축산식품부(농촌진흥청·산림청)·해양수산부(해양경찰청), 보건복지부(질병관리청)·식품의약품안전처·성평등가족부·국민권익위원회가 업무보고를 진행한다. 그 외 부처의 업무보고는 다음달 초쯤 열린다. 이번 두 번째 업무보고에서는 국민참여단도 함께한다. 지난 1일부터 6일까지 대통령 페이스북·유튜브·엑스(X)·인스타그램 등으로 모집한 국민참여단은 모두 1259명이 신청해 약 6.3대 1의 경쟁률을 보였다. 청와대는 이 가운데 연령과 성별, 관심 부처 등을 종합적으로 고려해 매회 약 20여명, 모두 200여명을 선발했다. 국민참여단은 이 대통령과 함께 각 부처의 업무보고를 직접 받고 자유롭게 질의 또는 정책 제안을 하는 시간을 가질 예정이다.

‘카카오페이’가 고객 약 4000만 명의 개인정보를 동의 없이 중국 간편결제 서비스업체 알리페이에 넘겼다는 의혹과 관련해 경찰이 강제 수사에 들어갔다. 경기남부경찰청 반부패·경제범죄수사대는 지난 6일과 7일 이틀 동안 성남시에 있는 카카오페이 본사에서 압수수색을 진행했다고 9일 밝혔다. 카카오페이는 2018년부터 2024년 5월까지 고객 약 4000만 명의 개인정보 542억 건을 중국 간편결제 서비스인 ‘알리페이’ 측에 전송한 혐의를 받고 있다. 경찰은 압수물 분석을 마친 뒤에는 참고인과 피의자 조사를 이어갈 방침이다. 현재까지 입건된 피의자는 카카오페이 임직원과 법인이다. 금융감독원은 지난 3월 카카오페이를 고객정보 유출 혐의로 경찰에 수사 의뢰했다. 경찰은 카카오페이가 알리페이에 제공한 고객 정보의 규모와 관련 경위 등을 확인하기 위해 전자 정보 등을 확보한 것으로 알려졌다. 개인정보 무단 제공 의혹과 관련해 카카오페이는 지난해 1월 개인정보보호위원회로부터 시정명령과 함께 과징금 59억 6000만원을 부과받은 데 이어 지난 2월 금융감독원에서도 기관 경고와 함께 과징금 129억 7600만 원을 부과받은 바 있다. 당시 개인정보위 조사 결과 카카오페이는 애플이 알리페이에 위탁한 ‘NSF 점수’ 산출 모델을 구축하기 위해 전체 이용자 정보를 넘긴 것으로 드러났다. ‘NSF 점수’는 애플 서비스 이용자의 결제 대금 부족 가능성을 평가하기 위해 산출하는 일종의 고객별 점수다. 카카오페이는 적법한 업무 위수탁에 따른 정보 제공이었다고 주장하며 개인정보위를 상대로 행정소송을 제기했으나 법원은 지난달 11일 원고 패소로 판결했다. 카카오페이는 현재 항소한 상태다.

휴대전화를 새로 개통하거나 가입된 이동통신사를 바꿀 때 ‘안면(얼굴) 인증’을 통한 강화된 본인확인 절차가 6일부터 적용된다. 보이스·스미싱 범죄와 대포폰 개설을 포함한 명의도용을 방지하겠다는 취지다. 과학기술정보통신부는 이동통신 3사와 알뜰폰 사업자가 6일부터 전국 대리점과 판매점, 온라인 등 대면·비대면 등 모든 채널에서 기존 신분증 확인보다 엄격해진 본인확인 절차를 시행한다고 5일 밝혔다. 이는 명의도용을 통한 불법 개통을 막아 대포폰과 보이스피싱 등 민생 범죄를 예방하려는 조치다. 정부는 지난해 말부터 시범 운영해 온 제도를 전 채널로 확대 적용하기로 했다. 신규 가입이나 번호이동 신청자는 얼굴 인증, 행정안전부 모바일 신분증 앱, 당일 발급된 주민등록초본 중 하나를 직접 선택해 본인 인증을 받아야 한다. 같은 통신사에서 단말기만 교체하는 기기 변경은 대상이 아니다. 당초 정부는 얼굴 인증을 의무화하려 했다. 하지만 개인정보보호위원회와 국가인권위원회가 얼굴 정보의 민감성을 이유로 선택권 보장을 권고하면서 다중 인증 체계로 수정됐다. 정부 관계자는 “휴대전화가 금융거래와 각종 온라인 서비스의 본인 확인 수단으로 폭넓게 활용되는 만큼 개통 단계부터 명의도용을 차단해 대포폰 유통과 보이스피싱 등 범죄를 줄이는 데 효과가 있을 것”이라고 기대했다. 한편 얼굴 정보의 유출 우려에 대해 과기정통부는 “얼굴 원본 이미지를 저장하지 않고 대조 즉시 파기한다”면서 “시범 운영과 한국인터넷진흥원(KISA)의 보안 점검에서도 취약점은 발견되지 않았다”고 설명했다. 다만 일각에서는 노후화된 신분증 사진은 얼굴 인증 시 정확도가 떨어질 수 있고, 시스템 오류가 발생하면 가입자의 불편이 커질 것이라는 전망도 나온다. 정부는 이번 제도를 시작으로 휴대전화 부정 개통 방지 체계를 지속해 보완할 계획이다. 정부 관계자는 “추가적인 본인 확인 수단을 도입하고 주민등록초본 진위 확인 시스템을 연계하고 관련 법령 정비를 추진하는 한편 부정 개통에 연루된 유통망 관리를 강화해 휴대전화 개통 과정의 신뢰성을 높여 나갈 계획”이라고 말했다.

외주업체 직원, 고객 닉네임·CI 유출프로젝트 종료 뒤 고객정보 잔존 논란개보위·금감원, 법 위반 여부 점검우리은행이 외부 개발업체에 제공한 고객 개인정보가 프로젝트 종료 뒤에도 업체 직원에게 남아 있다 유출된 것으로 파악됐다. 은행 내부 전산망이 뚫린 사고는 아니지만, 수탁업체에 넘긴 고객정보가 제대로 관리됐는지를 두고 은행권의 외주 관리 부실 문제가 다시 도마에 올랐다. 5일 금융권에 따르면 우리은행의 대체불가토큰(NFT) 플랫폼 구축 프로젝트를 수행한 외부 개발업체 직원이 고객 개인정보 1만 7551건을 개발자 플랫폼에 올리면서 정보가 유출됐다. 유출된 정보는 고객의 이용자 닉네임과 온라인상 개인 식별값인 연계정보(CI)다. 해당 정보는 우리은행이 2024년 9월 프로젝트 수행 과정에서 외부 개발업체에 제공한 것이다. 우리은행 관계자는 “업체 직원이 개발 관련 자료를 공유하는 과정에서 고객정보가 포함된 사실을 알지 못한 채 올린 것으로 보고 있다”고 전했다. 우리은행은 지난달 30일 유출 사실을 인지한 뒤 개발업체를 통해 관련 정보 접근을 차단했다. 정진완 우리은행장 명의의 사과문에서도 “이용자 닉네임은 회원 ID나 로그인 계정 정보가 아니며, CI만으로는 특정 개인을 알아볼 수 없다”고 설명했다. 다만 CI는 주민등록번호를 기반으로 생성돼 평생 변하지 않는 고유값인 만큼, 다른 개인정보와 결합되면 보이스피싱이나 명의도용 등에 악용될 가능성을 배제할 수는 없다. 우리은행은 출처가 불분명한 전화나 문자메시지 내 URL 클릭 등에 주의를 당부하고, 피해가 발생하면 신속히 확인해 보상하겠다는 입장이다. 은행에 따르면 이날까지 유출 정보가 온·오프라인에서 확산되거나 악용된 사례는 확인되지 않았다. 은행권에서 외주업체 등을 통한 고객정보 외부 유출 사고가 불거진 것은 이번이 처음이 아니다. 2013년 한국SC은행(현 SC제일은행) 외주 IT업체 직원이 고객정보 10만여건을, 한국씨티은행 내부 직원이 3만 4000여건을 빼내 대출모집인에게 넘긴 사실이 검찰 수사로 드러났다. 한편 이번 사고와 관련해 개인정보보호위원회는 외주 개발업체로부터 유출 신고를 접수하고 개인정보보호법 위반 여부를 들여다보고 있다. 금융감독원도 우리은행에 사고 경위 자체 점검과 재발방지대책 마련을 요구했다. 금감원은 필요하면 현장점검에 나서고, 위법 사항이 확인되면 검사로 전환할 방침이다. 관건은 프로젝트 종료 뒤 외부 개발업체에 고객정보가 남아 있었던 경위, 우리은행의 수탁업체 관리·감독 의무 이행 여부다.

우리은행에서 외부 업체 과실로 고객정보 1만 7000여건이 유출되는 사고가 발생했다. 유출된 정보 악용으로 실제 고객 피해가 발생한 사례는 아직 발견되지 않았다. 3일 우리은행은 고객 공지를 통해 “외부 개발업체가 임의로 보관하고 있던 개인정보 1만 7551건이 해당 업체 직원 과실로 유출되는 일이 발생했다”고 밝혔다. 온라인에서 개인을 식별하기 위한 암호화 정보인 연계정보(CI)와 고객 닉네임이 유출됐다. 은행 측에 따르면 해당 정보는 2024년 9월 우리은행이 체불가토큰(NFT) 플랫폼 구축 프로젝트를 진행하면서 외부 개발업체에게 공유한 정보다. 이후 프로젝트가 종료됐지만, 해당 업체 직원이 정보를 임의 보관하고 있다가 개발자 플랫폼에 이를 공유하면서 외부로 유출됐다. 우리은행은 “지난달 30일 유출 사실을 인지한 즉시 개발 업체를 통해 관련 정보 접근을 차단했다”며 “개인정보보호위원회에 신고하고 홈페이지에 관련 사실을 공지했다”고 밝혔다. 그러면서 “현재까지는 유출된 정보가 온·오프라인에서 확산되거나 악용된 사례는 발생하지 않은 것으로 파악된다”고 덧붙였다. 유출된 정보만으로 특정 개인을 식별할 수 없다는 설명이다. 다만 혹시 유출된 고객 정보로 보이스피싱, 스미싱 등 피해가 발생할 수 있어 해당 고객에게 출처가 불분명한 전화번호 수신 및 문자메시지 내 URL 링크 클릭에 각별한 주의를 기울여 달라고 당부했다. 별도의 이상금융거래탐지시스템(FDS)를 적용해 미연의 사고에 대비하고 있다고도 부연했다. 우리은행은 “이번 일을 계기로 개발업체의 개인정보 관리 현황을 전수 조사해 미흡한 점은 시정 조치하겠다”며 “고객에게 피해가 발생할 경우 최대한 신속하게 확인하고 보상하겠다”고 강조했다.

정부가 인공지능(AI) 확산에 맞춰 개인정보 보호체계를 전면 개편한다. 개인정보 처리 위험도에 따라 보호 기준을 달리 적용하는 ‘위험비례 보호체계’를 마련하고 법 위반에는 이행강제금을 도입해 제재 실효성을 높이기로 했다. 개인정보보호위원회는 3일 이런 내용의 ‘제3차 개인정보 보호 기본계획’(2027~2029년)을 발표했다. 개인정보 보호 기본계획은 개인정보보호법에 따라 3년마다 수립하는 법정 계획이다. 개보위는 이번 계획의 비전을 ‘신뢰받는 개인정보 환경, 안심하고 누리는 AI 사회’로 정했다. 핵심은 AI 환경에 맞춘 개인정보 규율체계 개편이다. 개보위는 기존의 일률적 규제 방식만으로는 AI 서비스 확산과 데이터 활용 증가에 대응하기 어렵다고 보고 있다. 앞으로는 개인정보 처리 위험도에 따라 보호 기준과 안전조치를 차등 적용한다. 이상민 개인정보보호위원회 개인정보정책국장은 브리핑에서 “지금까지는 개인정보 처리 환경에 대한 고려 없이 천편일률적인 규제가 적용된 측면이 있었다”며 “위험도가 높은 영역에는 더 높은 기준과 안전조치를 적용하겠다”고 말했다. AI 서비스의 성격과 처리 데이터 유형에 따라 위험도를 따지고 고위험 영역에는 강화된 보호 원칙을 제시한다. 이 국장은 “기술 변화에 따라 개별 기술을 사전에 모두 규제하는 것은 불가능하다”며 “고위험 영역에 필요한 원칙을 제시하고 그 원칙에 맞춰 구체화하는 유연한 체계를 마련하겠다”고 설명했다. 안전한 데이터 활용 기반도 넓힌다. 개보위는 개인정보 관련 법적 불확실성을 줄이기 위해 ‘AX 안심지원센터’를 운영한다. 지역 거점별로 가명·익명 데이터 연계 활용 허브도 구축한다. 국민이 자신의 정보 활용을 직접 관리할 수 있는 기반도 강화한다. 개보위는 온마이 플랫폼을 고도화하고 마이데이터 인프라를 금융·복지·돌봄 등 사회 문제 해결에 활용할 계획이다. 보호체계는 사후 대응에서 사전 예방 중심으로 바뀐다. 개보위는 ISMS-P 인증제도와 개인정보 처리방침 평가체계의 기준·절차를 개선한다. 대규모 개인정보를 처리하는 공공 분야의 안전조치와 점검체계도 강화한다. 기업의 자발적인 보호 투자도 유도한다. 선제적으로 개인정보 보호에 투자한 기업에는 유출 과징금을 감면하는 등 인센티브를 제공한다. 반면 법 위반에는 이행강제금 도입 등으로 엄정 대응하기로 했다. 중소·영세기업에는 맞춤형 개인정보 컨설팅과 보호·보안 지원을 제공한다. 유출 사고가 발생하면 사고 복구도 지원한다. 유출 사고 대응은 제재 중심에서 회복력 중심으로 보완한다. 이 국장은 “유출 사고가 발생했을 때 제재도 필요하지만 서비스를 빠르게 정상화하는 것이 본질적 목표”라며 “특히 작은 기업은 기술 지원을 통해 회복을 돕는 데 중점을 둘 필요가 있다”고 말했다. 개인정보 정책의 컨트롤타워 기능도 강화한다. 개보위는 개인정보보호법과 개별 법령 간 중복 규제를 정비하고 관계부처 협력을 확대할 방침이다. 위치정보, 개인신용정보 등 다른 법령과 개인정보보호법 간 규율이 겹쳐 현장 혼선이 생길 수 있다는 지적을 반영한 조치다. 국민 권리구제 체계도 손본다. 개인정보 유출이나 침해 사고가 발생하면 신고부터 조사, 분쟁조정, 손해배상까지 이어지는 원스톱 권리구제 체계를 마련한다. AI 기반 개인정보관리 플랫폼도 구축해 국민이 자신의 개인정보 처리 현황을 쉽게 확인하고 권리를 행사할 수 있도록 할 계획이다. 다만 과제별 세부 일정은 연도별 이행계획에서 구체화된다. 개보위는 이번 기본계획이 향후 3년간의 방향성과 목표를 담은 상위 계획인 만큼, 12대 추진과제별 일정은 별도 계획을 통해 제시하겠다고 밝혔다.

■ 개인정보보호위원회 △개인정보보호정책과장 최윤정