P2P 개인정보 유출 피해사례

■ 사례1 - 아파트 초고속통신망 가입고객 정보 유출

대규모 아파트 단지에 초고속통신망을 깔아주는 업체인 ㅌ사는 지난해 가입 고객들로부터 거센 항의를 받았다. “어떻게 인터넷에서 내 신상정보가 뜰 수 있느냐”는 내용이었다. 당시 이 회사는 고객들에게 “죄송하다”는 말밖에 해줄 수 없었다. 고객 항의를 받기 전까지 어떤 정보가 어떻게 유출되고 있는지 전혀 알지 못했기 때문이다.

문제의 파일은 서울 잠원동, 화곡동, 경기도 부평 산곡동 등 아파트 초고속통신망 가입고객 1389명의 집 주소와 주민등록번호, 휴대전화 등 개인신상정보가 담긴 문서였다. 이 문서가 한 파일공유프로그램(P2P)에서 유출됐고, 이를 본 고객들이 ㅌ사에 집단적으로 항의한 것이다.

ㅌ사는 전산요원까지 투입해 자체 진상조사까지 벌였지만 고객명단 유출의 원인을 찾지 못했다. 이 회사 진아무개 상무는 “직원들의 고의나 실수는 없는 것으로 결론내고 해킹피해로 추정했다”고 말했다.

결국 피해자들은 서울 서초경찰서 사이버수사대에 피해를 신고했고, 경찰은 이 회사에 공식적으로 수사를 의뢰하라고 제안했다. 서초 사이버수사대 관계자는 “피투피 사이트에서 자료가 유출됐다고 하는데, 피투피는 확산속도도 빠르고, 자료 유출에 따른 명의도용 등 범죄 이용 사례가 많을 것 같아 수사요청을 하라고 주문했다”고 말했다.

그러나 수사를 시작한 지 2년째 접어들었지만, 아직까지 유출자를 찾아내지는 못했다. 문제가 됐던 관련 자료들은 여전히 피투피 사이트에 떠돌고 있다.

이에 대해 경찰 관계자는 “회원정보가 됐든 음란물이든 몰카(몰래카메라)든 피투피에서 퍼지기 시작하면 수사를 진행하더라도 막을 수 있는 방법이 없다”며 “현재는 자료를 내려받은 사람에 대해 조사를 진행하고 있다”고 말했다. 이 관계자는 “자료유출을 막을 수만 있다면 대상자 조사를 해서라도 막아야 하는 게 우리 임무이지만 유출 경로조차 확인하지 못했다”고 덧붙였다. <한겨레> 온라인뉴스부 김보협 기자 [e-mail]

■ 사례2 - 은행들의 개인신상정보 유출

지난 19일 밤 한 파일공유 프로그램(P2P)을 돌리던 기자의 컴퓨터에서 여느 공유파일과는 다른 ‘문서파일’이 검색됐다. 보통 영화나 음악파일(MP3)을 내려받으려고 이용하는 피투피 사이트에서 떠도는 문서치고는 이름들이 심상치 않았다.

‘2003년말 기업여신고객 명단’, ‘ㄱ회원 명단’, ‘기업고객명단’, ‘주요거래처’ 등의 제목으로 돼 있는 금융정보들이었다. 기업고객 1040명의 대표자 이름, 주민등록번호, 휴대전화, 사업자번호, 계좌번호, 종업원 수, 총잔액, 수신평잔, 신용평점, 신용등급 등의 자세한 정보가 빼곡이 담겨 있었다. 금융기관의 내부자료가 분명해 보였다.

<한겨레>는 진씨에게 건네받은 문서에 나와 있는 가입고객들 가운데 20여명을 선별해 확인전화를 돌렸다. 지난해 초까지 어느 은행과 거래했는지, 문서가 유출된 사실을 알았는지 등 두 개의 사실을 집중적으로 물었다. 확인 결과, 시중은행 가운데 한 곳임이 드러났다. 또, 문서에 적힌 계좌번호를 확인해 지역에 있는 해당지점까지 파악할 수 있었다.

문제의 문서를 만든 ㅇ아무개 지점장에게 전화를 걸었다. ㅇ 지점장은 “고객관리 차원에서 요약한 내용을 집에 있는 컴퓨터에서 작업했는데, 아들이 피투피에서 영화를 다운받으면서 그 문서가 유출된 것 같다”고 말했다. 이 은행 관계자도 “지점장으로서 고객들을 관리해야 하는 점도 무시할 수 없다”며 “<한겨레>로부터 확인요청을 받고 유출 경로를 파악해서 해당 피투피 사이트에 조처를 요청했다”고 말했다. 문서가 유출됐던 피투피 사이트 운영자는 “관련파일을 금칙어로 설정해 더 이상 내려받을 수 없도록 했다”고 말했다. 그러나 금칙어 설정까지는 기자가 문제의 문서파일을 찾아낸 뒤 하루가 걸렸다.

이 은행 개인정보보호정책을 보면, “고객의 개인정보는 정보통신망이용촉진에관한법률 제17조의 규정에 따라 타인에게 제공, 활용시 동의를 얻어야 하는 정보로 우리는 법률에서 정하는 경우를 제외하고는 고객의 동의없이 제3자에게 제공하거나 유출하지 않는다”고 돼 있다.

취재진은 또다른 은행의 대출상담 문서도 입수했다. 21명의 이름, 직업, 연봉, 주민등록번호, 휴대전화, 대출상담 내용 등이 담긴 문서였다. 먼저 발견한 은행만큼 많은 고객은 아니었지만, 이 문서 또한 고객의 개인신상정보가 그대로 유출됐다.

해당은행에 관련 문서를 건네 분석을 요청한 지 8시간도 안돼 해당 은행 홍보담당자와 문서작성자 등 3명이 신문사를 찾아왔다. 은행 관계자들은 “고객관리를 하려고 개인적으로 작성한 파일인데, 피투피에서 영화를 다운받다 유출된 것 같다”며 “그동안 문서가 유출될 것이라는 상상조차 못했다”고 말했다.

또, “은행에서는 고객의 정보를 내려받을 수 없도록 프로그램을 설치해 자료가 은행 안에서 외부로 유출될 가능성은 없다”며 “직원이 대출상담을 하면서 적어뒀던 내용을 집에서 작업하다 발생한 일”이라고 강조했다.

이 은행도 지난해 7월1일 “엄격한 보안 및 기밀유지 기준을 적용하여 고객이 제공한 모든 정보들을 보호할 것이다…고객정보 취급 교육을 받고 권한을 부여 받은 직원만이 고객 정보에 액세스할 수 있고, 고객정보 보호 약속을 준수하지 않은 직원은 일반적인 징계조처를 받게 될 것”이라는 내용의 ‘프라이버시 보호약속’을 발표한 바 있다.

은행들의 개인신상정보 유출 사건은 피투피 사이트를 이용하면서 공유 폴더 설정을 잘못해 빚어진 일종의 헤프닝이었다. 하지만 사소한 실수가 고객 신상정보 유출이라는 ‘대형사고’로 번질 수 있는 단적인 사례였다. 문서 유출로 진땀을 흘렸던 은행 관계자들은 “그동안 피투피 사이트에 대한 개념조차 모르고 있었는 데 이번 기회를 통해 보안의식을 다잡게 됐다”며 ‘비싼’ 교훈담을 들려줬다.

문서가 유출됐던 해당 은행들은 취재진에게 “신상정보가 유출된 고객들을 직접 찾아가 사과하고, 전직원을 상대로 보안교육을 다시 실시하겠다”고 밝혔다. <한겨레> 온라인뉴스부 이승경 기자 [e-mail]