카드사 고객 정보 8000만건 2차 유출…3ㆍ4차 유출은?

카드사에서 유출된 개인 정보 8000여만건이 이미 대출중개업자 등에 팔려나간 것으로 검찰 수사 결과 밝혀지면서 “2차 유출은 없다”던 검찰과 금융당국이 곤란한 처지에 놓이게 됐다. 이미 개인정보가 암시장에서 매매됐음이 확인되면서 3차, 4차 유출 가능성도 무시할 수 없게 됐다.

검찰이 지난 1월 수사 결과를 처음 발표할 당시 개인정보가 담긴 이동식저장장치(USB)를 모두 압수했기 때문에 2차 유출은 없다고 밝혔으며 금융당국은 기회가 있을 때마다 고객정보가 외부로 빠져나가지 않았다고 강조했다.

하지만 정보기술(IT) 전문가들은 “이동식 저장장치(USB)에 저장된 디지털 정보는 이미 여러 번 복사됐을 것”이라면서 “유출되지 않고 전부 회수될 가능성은 없다”고 의구심을 제기해왔다.

16일 창원지검에 따르면 KB국민카드, NH농협카드, 롯데카드 등 3개 카드사에서 정보를 유출한 코리아크레딧뷰로(KCB) 직원 박모 씨로부터 정보를 넘겨받은 광고대행업자 조모 씨가 대출중개업체 7곳에 8200만건을 또 다시 넘긴 것으로 드러났다.

이에 따라 검찰은 금융감독원에 2차 유출 관련 내용을 확인해달라고 요청했고 해당 카드사를 대상으로 재검사에 돌입한 것으로 알려졌다.

전문가들은 “디지털 데이터의 회수라는 것은 말이 안 되며 애당초 2차 유출이 없다는 것은 장담할 수 없었던 것”이라고 지적해 금융당국의 책임론이 재부상하고 있다. 모든 가능성을 열어놓고 대책을 마련했어야 했다는 것이다.

2차 유출이 없다고 당국이 확신하던 근거는 KCB 직원과 정보를 구매한 대출광고업자, 대출모집인 등 관련자로부터 원본파일과 복사파일이 담긴 USB와 하드디스크를 압수했다는 것이다. 또 정부는 카드 정보 유출 사고가 발생한 이후 2차 피해가 발생하지 않았다는 점도 근거로 들었다.

이에 대해 IT보안 전문가들은 디지털 정보는 복제를 통해 퍼져나가기 때문에 유통 가능성이 높으며 3ㆍ4차 정보 거래의 가능성이 있다고 지적했다.

또한 고객 정보가 활용돼도 파악이 어려우며 피해 확인이 되지 않을 것이라고 정면 반박했다. 유통되고 있는 정보의 출처 또한 파악이 불가능할 것이라는 얘기다.

국회 정무위원회 개인정보 유출 청문회에서 문송천 KAIST(카이스트) 경영대학 교수는 USB 하나만 가지고 유출 여부를 얘기하는 것은 ‘말장난’에 불과하다며 이같이 밝혔다.

문 교수는 “IT 전문가의 시각으로 보면 (정보 유출자는) 다수의 복제본(카피)을 생성하고 그것을 여러 군데 배포했을 것”이라면서 “2차 유출이 없다는 말에 안심할 사람은 없다”고 밝혔다.

이날 함께 증인으로 참석한 임종인 고려대 정보보호대학원장 역시 2차 유통이 없다는 것은 말이 안 된다고 목소리를 높였다.

임 원장은 ‘2차 유출이 없다고 믿을 수 있느냐’는 민주당 민병두 의원의 질문에 대해 “대포폰과 대포통장을 이용하면 조사를 해도 절대 (증거가) 나올 수 없다”면서 “PC방에서도 삭제 소프트웨어가 있고 외부 클라우드를 통해 증거를 남기지 않고 메신저로 충분히 전달할 수 있으므로 2차 유출 가능성이 높다”고 강조했다.

업계에서는 이번에 유통된 정보가 브로커를 통해 이미 해외로까지 팔려 나갔을 가능성이 매우 크다고 보고 있다.

유출이 2년에 걸쳐 일어났고 유통된 정보가 대량에 달하는 점, 고급 정보가 담겨 있었다는 점 때문에 추가로 유통될 가능성이 매우 높다는 것이다.

금융당국은 비밀번호, cvc 번호 등은 유출되지 않아 카드 복제가 불가능하다고 하지만 카드번호와 유효기간만 있어도 결제할 수 있는 가맹점이 전국 수만곳에 이르는 실정이다. 다만 카드사들은 아직 2차 피해 사례를 접수한 것은 없다고 밝혔다. 또 2차 피해가 발생할 경우 피해액을 전액 보상하겠다고 강조했다.