[여성소비자신문=고승주기자] 이번 카드사 사태는 발생사유, 진행상황 모든 면에서 보아서 참담한 국내 보안IT의식을 반영할 사건이 될 것으로 전망된다. 

 

20일 대규모 유출사태가 벌어진 국민, 롯데, 농협카드 사장이 기자회견 후 자진사퇴했다. 반면 피해자들에게 주어진 실질적인 보상은 월 300원짜리 SMS문자 서비스 하나 무료제공하는 것에 그쳤다.

 

카드사들은 3개월 동안 보이스피싱이나 스미싱과 같은 2차 피해가 발생했을 경우 보상해주겠다고도 밝혔지만, 이 역시 아무런 기준이 없어 실효성을 가지긴 어려운 상황. 사상 최악의 정보유출 사태가 발생했지만, 대표들의 사퇴로 여론을 잠재우겠다는 얄팍한 수라는 비판이 제기되고 있다. 

 

또 다른 참상은 금융당국에서 발견됐다. 

 

인터넷 게시판과 SNS를 통해 박근혜 대통령, 반기문 UN총장 등 유명인사와 정부 고위 관계자들의 개인정보유출내역이 올라왔다. KB카드는 17일 밤 본인정보유출확인 시스템을 온라인에 가동시키면서 이름과 생일, 그리고 주민번호 끝자리 수만 알면 개인정보 유출을 알 수 있도록 만들었다. 

 

생년월일이 알려진 유명인사인 만큼 0~9까지 숫자를 반복해서 넣으면 누구나 이들의 정보유출 사실을 알 수 있었으며, 잘못 입력되었을 경우 접속을 차단하는 장치도 마련하지 않아 사태를 확산시켰다. 

 

농협카드에서도 암호화해서 보내야 할 개인정보를 평문으로 보내 유출정보를 보호하기는커녕, 정보를 인터넷 곳곳에 그대로 노출시킨 채 전송했다.

 

막대한 유무선 트래픽에 회선이나 서버가 뻗는 참상 역시 이어졌다.

 

현재는 카드인증이나 공인인증서 등을 통해 수정된 모습이지만, 이러한 문제가 발생한 이유는 금융감독원의 혹독한 다그침에 원인이 있었다. 

 

사건은 1월 8일 알려졌지만, 금감원은 즉시 실질적인 소비자 대책을 세우지 않았고 한참 시간이 지나고 나서야 17일까지 본인정보 유출 시스템을 갖출 것을 지시한 것으로 알려졌다. 

 

이 탓에 각 카드사들은 촉박한 시간을 쪼개 트래픽을 수용하기 위한 서버확보부터 각종 보안 라이센스와 재계약, IT 실무 부서에선 애플리케이션을 개발해야 했다. 카드사들은 도저히 시간을 맞출 수 없다며 호소했지만, 금감원은 ‘17일까지’라고 다그쳤다. 일부 업체는 기획-보안, 서버 업체와 계약-개발-공개까지 불과 24시간여 만에 모든 상황을 종료했던 것으로 알려졌다. 

 

검사, 검증할 시간은 없었고, 결과물은 부실할 수밖에 없었다.

 

이에 대한 최수현 금감원장의 대응은 문제없다, 정보유출 시스템에 엉뚱한 말을 하는 사람은 강력히 처벌하겠다는 식의 엄포뿐이었다. 

 

대검찰청은 19일 보도자료를 통해 “본인 정보유출 확인 시스템에서는 어떤 정보가 유출되었다는 것만 표시할 뿐, 구체적인 정보는 공개하지 않는다”고 발표했고, 최 원장은 20일 금감원 임원회의에서 “국민적 불안감을 조장하는 행위는 수사당국과 협의하여 엄중히 책임을 묻겠다”고 말했다.

 

그러나 최 원장이 말하는 국민들의 불안감은 대통령이나 금융위원장의 개인정보가 털렸다는 것보다 이 정보가 어디까지 흘러들어갔고, 어느 수준까지 빼앗겼는가에 대한 진짜 정보를 원하고 있다. 또 앞으로 이 정보들이 어떻게 범죄에 이용될 지에 대한 정부의 대책도 마찬가지다.

 

이에 대한 금감원은 카드사에 전에 없는 강력한 제재를 가하겠다는 것뿐이다. 물론 시간과 예산도 없이 방만한 보안대책을 세운 카드사 법인, 보안, 경영 관계자들과 대표들은 책임에서 무관하지 않다. 현재 카드 3사 대표들은 모두 자진 사퇴했지만, 고객을 상대로 한 ‘배임’의 관점에서 본다면 법인부터 관계자까지 모두 형사처벌의 가능성이 있다. 

 

밤념 국민들이 원하는 정보와 대책은 아직 요원한 것처럼 보인다. 일부 매체는 중복을 제외한 최소 피해자수를 발표하고 있지만, 저마다 제각각이며 금감원 측도 정확한 수치를 모르고 있다. 

 

19일 금감원은 보도자료를 통해 카드사 외에도 국민은행, 신한은행, 하나은행, 우리은행 및 외국계 은행과 추가 카드사, 저축은행, 캐피탈 등 금융권에서도 1500만명의 정보가 유출된 것으로 추정한다고 밝혔다. 현재 정보유출 카드 3사를 통해 유출된 것으로 알려진 1억 400만건의 정보 역시 추정이므로 피해가 어디까지 늘어날지 알 수 없다.

 

유출된 정보의 질 역시 심각하다. 과거엔 이름과 주민등록정보, 전화번호와 주소 등이었지만, 이번에 유출된 정보는 직장정보와 주소, 결혼유무, 주거 외에도 이용실질금액, 계좌, 결제일, 신용한도금액, 자가용 및 실물자산 보유현황, 신용등급 등 막대한 개인금융정보들이 빠져나갔다. 

 

이 가운데 유출 카드사들의 돈독 오른 영업행태도 비판의 도마에 올랐다. 농협카드는 정보유출로 재발급을 원하는 고객들에게 재발급비 1000원을 받았다가 되돌려주는 촌극을 낳고, 국민카드 등은 보안을 외주에 맡기다 사태가 벌어졌음에도 콜센터 등 개인정보 및 보안 관련 부서를 외주에 돌리고 있다. 개인정보 유출과 관련된 약관엔 ‘직접적인 범죄’로 인한 보상 외는 아무런 구체적인 보상책이 없다.

 

보안은 어떻게 할 방법이 없는 난제일까. 보안은 시간과 예산의 꾸준한 투자와 데이터의 지속적인 갱신을 통해서만 이뤄질 수 있다. 최신의 코드, 최신의 암호 알고리즘을 써도 해커의 침입을 100% 막을 수 없다. 하지만 이번 사태는 그런 복잡한 해킹 기술이 동원된 것이 아니다. 

 

현 사태는 보안권한이라든가 개인정보 자체에 대한 암호화는 물론 CCTV, USB통제 등 물리적 수단조차 없었다. 방벽도 보초병도 없었다. 어려워서 터진 것이 아니라 쉬운 것 조차 안 해서 터진 것이다.