NFT 프로젝트에서 터진 개인정보 유출
우리은행에서 외부 개발업체의 실수로 고객 개인정보 1만 7,551건이 유출되는 사고가 발생했습니다. 이번 유출은 은행의 대체 불가능한 토큰, 이른바 NFT 플랫폼 구축 프로젝트를 수행하던 업체에서 일어났는데요. 해당 업체 직원이 정보를 임의로 보관하다 실수를 저지르면서 고객 데이터가 새어 나갔습니다.
우리은행은 지난 6월 30일에 이 사실을 인지한 뒤 곧바로 해당 업체를 통한 정보 접근을 차단했습니다. 개인정보보호위원회에도 즉시 신고를 마쳤고, 유출 대상 고객들에게는 개별 통지를 완료했습니다. 정진완 은행장은 직접 고객들에게 문자 메시지를 보내 깊이 사죄했고, 은행 측은 전수 조사와 함께 피해가 확인될 경우 신속한 보상을 약속했습니다.
유출된 정보와 2차 피해 우려
유출된 개인정보는 닉네임과 연계정보, 이른바 CI를 비롯한 9가지 항목으로 확인됐습니다. CI는 타 금융기관이나 공공기관에서 본인 확인 용도로 쓰이는 정보인 만큼 유출 시 피해가 적지 않습니다. 다행히 고객의 아이디와 비밀번호 같은 핵심 인증 정보는 포함되지 않아 직접적인 계정 도용 위험은 낮은 상황입니다. 현재까지 유출된 정보가 온라인이나 오프라인에서 확산되거나 악용된 사례는 보고되지 않았습니다.
그렇다고 안심하기는 이릅니다. 유출된 정보를 이용한 스미싱이나 피싱 범죄로 이어질 가능성이 여전히 남아있기 때문입니다. 우리은행은 고객들에게 출처가 불분명한 URL 클릭에 주의를 당부했고, 이상거래탐지시스템인 FDS를 고도화해 의심스러운 거래를 실시간으로 모니터링하고 있습니다.
외주 개발의 보안 허술, 재발 막을까
이번 사고는 외부 개발업체가 고객 정보를 임의로 보관하던 중 발생했다는 점에서 주목할 필요가 있습니다. 금융권에서 외주를 통해 디지털 서비스를 구축하는 건 흔한 일이지만, 정보 관리 과정에서의 허술함이 그대로 드러난 겁니다. 특히 은행권은 최근 디지털 전환을 가속화하면서 외부 전문 업체에 대한 의존도가 높아지고 있는데, 사실 외부 업체가 은행 내부 시스템과 연동되는 만큼 보안 통제가 더욱 철저했어야 한다는 지적이 나옵니다.
우리은행은 이번 일을 계기로 개인정보 보호 체계를 전면 강화하겠다고 밝혔습니다. 고객 정보 관리 시스템 전반의 개선과 내부 보안 정책 재정비를 약속했는데요. 문제는 이런 다짐이 과거에도 여러 차례 반복되어 왔다는 점입니다. 이번 조치가 일회성 대응에 그치지 않고, 외주 업체 선정부터 정보 파기까지 전 주기를 관리하는 제도로 자리 잡을지가 관건입니다.