[비상식의 사회]개인정보 수집 탐욕, 대형사고 치다

기업들은 필요한 정보를 수집해 왔고, 관계사나 제휴사 간에 정보를 공유하거나 마케팅전문 회사에 팔아 왔다.

요즘 테이크아웃 커피 전문점인 스타벅스에 가면 재미있는 장면을 볼 수 있다. “‘오직하나뿐인’ 고객님, 주문하신 아메리카노 한 잔 나왔습니다.” ‘커피빈에서온’ 고객님, ‘사귀어주세요’ 고객님, ‘경찰청창살’ 고객님, ‘김수현의여친’ 고객님….

스타벅스에서는 인터넷 홈페이지에서 회원 가입을 하고 여섯 자 이내로 자신의 닉네임을 지정하면 실제 매장에서 그 닉네임을 불러주는 서비스를 하고 있다. 이를 이용해 재미있는 닉네임들이 SNS 상에서 회자되고 있다. 스타벅스에 가면 나는 ‘윤원철’이 아닌 ‘왕이아닌’ 고객이다.

이런 닉네임이 불리기 위해서는 스타벅스의 홈페이지에 가서 휴대폰이나 아이핀으로 본인 인증을 하고 주소·전화번호·이메일 등의 정보를 기입하고 회원 가입을 해야 한다.

개인적으로는 “커피 한 잔 먹는데 꼭 이런 정보가 필요할까” 의문이다. 스타벅스에서 내가 진짜 ‘윤원철’인 것을 꼭 확인해야 할 필요가 있느냐는 말이다. 난 스타벅스에서는 ‘윤원철’이 아닌 ‘왕이아닌’이고 싶은데 말이다.

2월 18일 카드 3사 고객정보를 몰래 빼돌린 혐의로 구속 기소된 전 KCB 직원 박모씨(뒷줄 오른쪽)와 광고대행업체 대표 조모씨가 국회 정무위원회에서 열린 개인정보 대량유출 관련 실태조사 및 재발 방지를 위한 국정조사 청문회에 증인으로 출석해 의원들의 질의에 답변하고 있다. / 정지윤 기자

꼭 주소나 이메일 등을 확인하여 나인지를 알아야 하는 이유가 중복 가입을 방지하려는 이유라면 휴대폰이나 공인인증서로 본인 확인을 하면 되고, 카드 사용분에 대한 현금영수증 처리를 위한 것이라면 휴대폰 정보만으로도 충분히 처리가 가능하다. 굳이 이름이나 주소, 이메일을 알 필요는 없다.

그럼에도 이런 정보들을 기입하지 않으면 회원 가입이 안 되도록 하는 이유는 무엇일까?

수집만 하고 보관에는 소홀한 기업들
이는 업체들의 과한 욕심 때문이다. 고객의 정보를 많이 알수록 다양한 형태의 타깃 마케팅을 할 수도 있고, 고객의 소비행태에 따른 제품 개발에도 쓸 수 있다. 그나마 스타벅스는 상대적으로 적은 정보를 수집하는 편이다. 엄청난 마케팅 전쟁을 벌이고 있는 금융회사들과 통신, 유통 관련 업체들의 ‘정보 수집욕’은 타의 추종을 불허한다.

지난달 사상 최대의 개인정보 유출사건이 있었다. KB국민카드, 롯데카드, NH카드 3사를 통해 1억4000만건의 개인정보가 유출됐다. 이번 사건은 그 규모와 파장에서 이전의 어떤 개인정보 유출사건보다 컸다. 실제로 국내에서 경제활동을 하는 거의 모든 사람이 피해자들이라고 해도 과언이 아니다. 숫자만으로도 세계적으로 유례가 없을 정도다.

미국의 신용도용범죄정보센터(ITRC· Identify Theft Resource Center)에 따르면 2013년에 미국에서 발생한 개인정보 유출사건은 총 619건이다. 민간기업, 의료, 교육, 정부 등에서 새어나간 개인정보는 총 5790만건에 불과하다. 이런 저런 사건·사고 다 합쳐도 단일 건인 이번 유출 건의 절반에도 미치지 못한다.

겉으로 드러난 이 사건의 원인은 카드사들을 대상으로 코리아크레딧뷰로(KCB·Koea Cerdit Bureau)가 ‘위변조 탐지 시스템 개발 프로젝트’를 하면서 카드사로부터 전달받은 카드사 고객의 정보를 빼돌린 것이다. 근본적으로 ‘인재’라는 점은 분명하다.

1월 27일 금융정의연대 등 시민단체 회원들이 서울 내수동 KB국민카드 본사 앞에서 신용카드사의 정보유츨과 당국의 무대책을 규탄하는 집회를 하고 있다. / 김문석 기자

금융감독원의 정보보안 규정에 따르면 개발에 필요한 데이터를 제공할 때에는 개인정보가 담긴 칼럼 내 특정한 숫자를 특수문자로 치환하는 암호화 기술을 이용하여 전달하도록 하고 있음에도 3개 카드사는 이를 지키지 않았다.

금융감독원의 조사에 의하면 신한카드와 삼성카드도 코리아크레딧뷰로에 ‘위변조 탐지 시스템’의 개발을 맡겼으나 데이터를 암호화하여 전달하는 규정을 지킴으로써 이번 유출사태를 면한 것으로 밝혀졌다.

이 사건의 일차적인 책임은 그렇게 전달받은 데이터를 판매 목적으로 자신의 개인 컴퓨터에 보관해 놨다던 코리아크레딧뷰로의 박모 차장이라는 사람이고, 2차적인 책임은 무분별하게 고객의 개인정보를 수집하고 이를 잘 보관하지 못한 카드사다.

실제 피해 없다는 카드사 말 믿어도 되나
그러나 이 사건의 주요한 배경은 자신의 정보를 생각 없이 제공한 개인들의 정보보안에 대한 무지에 있다. 이번 사고 카드사와 거래한 적이 없는데도 정보가 유출되었다거나, 카드회원 가입 시 제공한 정보가 아닌 정보도 유출되었는지에 대해 궁금해하는 이들이 많다. 이들은 자신의 개인정보가 통신사나 다른 금융사 서비스에 가입하면서 서로 공유되기 시작했다는 것을 알지 못한 경우가 대부분이다.

최근에서야 개인정보 관련 경각심이 높아져 개인정보 제공 및 활용에 관한 약관 내용을 꼼꼼히 확인하지, 불과 몇 년 전만 해도 다들 개인정보 제공에 동의하는 체크 박스를 아무런 생각 없이 누르거나 사인을 하는 것이 일반적이었다.

심지어 1000원짜리 할인쿠폰을 얻기 위해 자신의 정보를 제공하는 것에도 거리낌이 없었다. 이런 점을 노려 기업들은 필요한 정보를 수집해 왔고, 관계사나 제휴사 간에 정보를 공유하거나 마케팅 전문 회사에 팔아 왔다.

카드사들도 고객으로부터 제공받은 정보 외에 카드 발급에 필요해서 조회했던 타사 카드 보유 상황, 연소득, 주거상황까지 보관해 왔다. 별 생각 없이 해오던 관행이 결국 거대한 사고로 이어진 셈이다.

엄청난 피해와 사회적 파장에도 불구하고 이번 사건에 대한 사고 카드사들의 대응은 적절하지도 못했고, 피해고객을 혼란스럽게 했다. 겨우 피해고객이 피해 여부를 확인할 수 있는 홈페이지 상의 메뉴를 만들거나 외부로 유출되기 전 발견해서 실제 피해는 없다는 공지 정도였다.

개인정보 유출로 인한 고객의 피해를 전액 보상하겠다는 약속이었다. 이번에 유출된 정보를 보면 스미싱이나 피싱과 같은 사기피해뿐 아니라 유출된 개인정보를 가지고 신용카드를 만들 수 있는 정도라고 한다.

이런 상황에서 실제 피해가 없다는 카드회사들의 이야기가 믿어지지 않았다. 불안에 떨고 있는 고객들에게는 무책임한 가해자로 보이지 않았을까.

정치권과 금융당국은 처벌과 감독 강화만 외치고 있다. 제도적이고 기술적인 보안대책에 대해서는 전혀 이야기되고 있지 않다. 사실 이렇게 안에서 정보를 빼가는 것에 대해서는 기술적인 보안대책을 내기 어렵다. 내부적으로 정보보안 규정의 준수에 대한 관리·감독을 강화하는 것은 필요할 것으로 보인다.

그러나 근본적인 대책은 기업들의 과도한 정보수집을 막고 최소한의 정보만 수집·보관하도록 하는 제도적 강제가 필요한 때가 되었다. 아울러 개인들도 자신의 정보에 대한 무관심에서 벗어나 정당하지 않은 정보제공 요구에 응하지 말아야 한다. 그리고 제공된 정보가 잘 관리되고 있는지도 감시·감독해야 할 것이다.

비상식의 사회

이번 사태에도 사고 카드사에 대한 제재는 3개월 영업정지와 600만원의 과태료에 불과했다. 소중한 고객의 정보를 소홀히 한 카드사들에게 ‘왕인 고객’이 나서서 손해배상 소송 등을 통해 따끔한 경고를 했으면 하는 것이 ‘왕이아닌’ 고객의 희망이다.

<윤원철 KINX 경영지원실장 won@kinx.net>