털려도 변경 불가 ‘온라인 주민번호’… “유효기간제 도입 시급” 작성일 08-12 26 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">해킹으로 온라인 주민번호(CI) 대규모 유출<br>한 번 발급하면 평생 변경 불가...보안 허점<br>2차 범죄 막기 위해 유효기간 도입 필요</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Z3XLysqF5w"> <figure class="figure_frm origin_fig" contents-hash="8ac591931f2e06ac20d19f8d84ff69a760e7052b0b18b7b698ef8ff95bef9a4e" dmcf-pid="50ZoWOB3ZD" dmcf-ptype="figure"> <p class="link_figure"><img alt="국내 온라인동영상서비스(OTT) 티빙은 3일 공지사항을 통해 개인정보 유출 사실을 통지했다. 유출된 개인정보는 아이디, 이름, 생년월일, 성별, 전화번호, 이메일 등이다. (티빙 앱 화면 갈무리) ⓒ 뉴스1 DB" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/12/chosun/20260812090210471cmms.jpg" data-org-width="1206" dmcf-mid="XR0c5vfz5r" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/12/chosun/20260812090210471cmms.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 국내 온라인동영상서비스(OTT) 티빙은 3일 공지사항을 통해 개인정보 유출 사실을 통지했다. 유출된 개인정보는 아이디, 이름, 생년월일, 성별, 전화번호, 이메일 등이다. (티빙 앱 화면 갈무리) ⓒ 뉴스1 DB </figcaption> </figure> <p contents-hash="75c54db8f941c0f65faf55afc6a42fe36f6b2073852f216adab756954d47ffd0" dmcf-pid="1p5gYIb0tE" dmcf-ptype="general">지난 5~6월 티빙·BGF네트웍스(CU 편의점 택배)·우리은행에서 잇따라 CI(연계번호, 일명 ‘온라인 주민번호’)가 대규모로 유출됐다. CI는 주민등록번호와 연계된 고유의 식별값으로 온라인에서 본인 인증에 사용되고 있는데, 한 번 발급되면 사실상 변경이 불가능해 2차 피해 발생 가능성에 대한 우려가 커지고 있다. 정보 보안 업계에선 “네이버·카카오 등 간편 인증이나 여러 온라인 서비스에 로그인할 때 동일한 CI가 활용되고 있다”면서 “이렇게 중요한 정보가 해커들에게 털리고 있는데 변경이 불가능하다는 것은 보안의 중대한 취약점”이라고 말했다.</p> <p contents-hash="87f440f1bc1eba2061cfd6536f52b6456f9cbbad0aeed9b3ec717524da0814d5" dmcf-pid="tU1aGCKpGk" dmcf-ptype="general"><strong>◇온라인 주민번호, 유출돼도 변경 불가</strong></p> <p contents-hash="a4ec09dd00dc660d07078ef11b7be4cd91fb694de34a869e3e0d244ddf480bde" dmcf-pid="FutNHh9UXc" dmcf-ptype="general">CI(Connecting Information)는 주민등록번호를 기반으로 암호화해 생성된다. 주민등록번호 남용 및 유출을 막기 위해 2010년 도입됐다. CI는 주민등록번호와 일대일로 대응해 만들어지기 때문에 1인당 1개만 발급이 가능하다는 것이 특징이다. CI는 이용자가 특정 웹사이트에서 최초로 본인 확인을 거치는 순간 생성·발급되는데 사실상 국내 대부분의 온라인 서비스가 같은 CI를 공유하고 있다. 온라인 주민번호로 불리는 이유다. 문제는 해킹으로 CI가 유출되더라도 주민등록번호를 바꾸지 않는 한 평생 변경이나 폐기가 불가능하다는 것이다. 영구적인 식별값이 무기한 보관되기 때문에 그 자체로 보안상 치명적인 문제를 안고 있다.</p> <p contents-hash="7ac162425da284c3145f2e08e6cca2fe73b4150a87292dc6c27591616e513867" dmcf-pid="32zr0GQ9YA" dmcf-ptype="general">보안 업계에선 이 같은 취약점으로 2차 범죄가 발생할 가능성이 높다고 본다. 예를 들어 지난해 8월 롯데카드에서 발생한 해킹으로 297만명의 주민등록번호·CI·결제 코드 등이 유출됐는데, 이 정보와 지난 5월 티빙에서 유출된 1953만명의 CI·이름·생년월일·휴대폰 번호 등 정보를 조합하면 소비 패턴, 생활 반경, 콘텐츠 소비 취향까지 분석하는 게 가능하다는 것이다. 지난 6월에는 BGF네트웍스에서 아이디·비번·생년월일·CI·주소 등이 유출(규모 미공개)됐고, 우리은행에서도 1만7000여명의 CI·닉네임 등이 유출됐다. 보안 업체 관계자는 “CI가 서로 다른 웹사이트에서 보관하고 있는 특정 개인의 정보를 재조합할 수 있는 연결고리가 되는 셈”이라면서 “범죄 조직은 이렇게 재조합된 정보를 토대로 스미싱·보이스피싱과 같은 금융 사기나 비대면 명의 도용 대출, 불법 마케팅 등에 사용할 수 있다”고 말했다.</p> <p contents-hash="73e8593579aeea41f9a717d12ec250ae436beaeea0277e1b6bddddcf74d15e7a" dmcf-pid="0VqmpHx2Hj" dmcf-ptype="general"><strong>◇CI 유효 기간제 도입 고려해야</strong></p> <p contents-hash="8ad289fb3dd72b243b4fe63d2b12c087d3d00c93747e69c182ce66cb2d7bdab5" dmcf-pid="pfBsUXMVXN" dmcf-ptype="general">정보보안 업계에선 CI 유출로 인한 2차 피해를 막기 위해 ‘CI 유효 기간제’를 도입해야 한다는 목소리가 나오고 있다. 현실적으로 CI를 대체할 수 있는 본인확인수단이 마땅치 않은 만큼 정기적으로 CI를 폐기하고 재발급할 수 있도록 제도를 마련해야 한다는 것이다. CI의 유효 기간이 짧을수록 안전성이 높아진다는 점을 감안해 유효 기간을 1년 이내로 설정할 필요가 있다는 목소리에 힘이 실리고 있다. 실제 롯데카드 해킹 이후 1년도 안 된 시점에서 세 차례나 CI가 유출되는 사고가 발생했다.</p> <p contents-hash="c3e567cca5c563df99a2c03585d5627be75537c47d25d13afcfe328fc8fd43a6" dmcf-pid="U4bOuZRfta" dmcf-ptype="general">정부에서도 CI 유효 기간 도입 필요성을 인지하고 제도 개선 검토를 하고 있지만 아직 구체적인 도입 여부나 시행 일정은 정해지지 않은 상태다. 일단 방송미디어통신위원회는 내년 5월부터 시행 예정이었던 주민등록번호와 연계 정보(CI)의 분리 보관 의무화를 4개월 앞당겨 내년 1월 1일부터 시행하기로 한 상황이다. 그러나 이 정도로는 해킹에 따른 2차 범죄를 완전히 예방하기는 어렵다는 지적이 나온다.</p> <p contents-hash="98f6adacb910d1567fefd64e7d716d5e8e0852cf2f325e222798a7ead1b74908" dmcf-pid="u8KI75e4Xg" dmcf-ptype="general">CI 유효 기간 도입은 별도의 입법 과정이 없더라도 정보통신망법에 따라 방미통위가 고시를 개정하는 것만으로도 시행이 가능한 것으로 분석된다. 앞서 관세청도 2025년 6월 고시 개정을 통해 개인통관고유번호에 1년 유효 기간을 부여해 정기 갱신하도록 제도를 만들었다. 최경진 가천대 법학과 교수는 “CI 도입 취지가 영구적인 식별값이 아니라 임시 식별값이었기 때문에 원래 취지대로 돌아가야 한다”면서 “시뮬레이션을 통해 비용·안전성·효율성을 고려해 적정한 유효 기간을 설정해야 한다”고 말했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 조선일보. 무단전재 및 재배포 금지.</p> 관련자료 이전 개인정보보호위원회 "스크래핑, 전면 금지 아니다⋯한시적 유예" 08-12 다음 [올쇼TV] “체계화된 데이터가 곧 AI 시대의 경쟁력이다” 8월 19일 생방송 08-12 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
