카드·계좌번호 다 털렸는데 "주민번호만 암호화?"

금융업계 "주민번호 암호화만으로 2차 피해 막을 수 있어"

보안업계 "그건 주민번호만 식별정보였을 때 얘기"

개인정보 보호법 일부 개정법률안(위원회안) ⓒ데일리안

주민등록번호 암호화를 골자로 한 '개인정보 보호법 일부개정법률안'을 두고 논란이 일고 있다. 이미 다 털려버린 카드번호와 계좌번호는 그대로인채 암호화 대상을 주민등록번호에 국한된 것을 놓고 반쪽짜리 법안이라는 것이다.

3일 금융권과 안전행정위원회에 따르면, 국회는 지난달 28일 본회의에서 금융기관·공공기관의 주민등록번호 암호화 의무화를 담은 개인정보 보호법 개정안을 만장일치로 가결했다. 이는 카드사를 포함한 일부 금융회사에서 보관하던 고객정보가 대량 유출된 데 따른 제도적 후속 조치다.

이에 따라 금융기관은 주민등록번호 암호화 시스템을 구축해야 한다. 늦어도 오는 2020년까지 금융기관이 주민등록번호 암호화 시스템을 갖추도록 한다는 게 금융당국의 계획이다.

다만 암호화 적용 대상과 대상별 적용 시기 등 세부 내용은 대통령령으로 정하기로 했다. 특히 암호화 대상을 두고 이견이 있어 추가 논의가 불가피하다.

앞서 지난달 26일 이찬열 민주당 의원은 "개정안에는 암호화 대상을 주민번호로만 한정하고 있다"며 "여권번호나 운전면허증번호도 암호화 대상에 포함돼야 하는 게 아니냐"고 유정복 안전행정부 장관을 몰아세웠다.

이에 유 장관은 "정책 여건의 변화가 심한 상황에서 이를 한꺼번에 암호화한다는 건 합당하지 않다"며 "주민번호가 갖는 정보의 범위를 감안할 때 우선하여 주민번호에 대해서만 암호화 조치를 하자는 것"이라고 강변했다.

이번 카드 3사(국민카드, 롯데카드, 농협카드) 고객정보 유출 사태만 보더라도 이 의원 지적은 일리가 있다. 고객정보 유출이 확인된 카드사 모두 주민등록번호가 빠져나갔고 일부 카드사는 카드번호, 유효기간 등 민감한 금융정보도 빠져나갔다. 암호화 대상을 주민등록번호 외에도 기타 식별정보, 금융정보 등으로 확대해야 한다는 주장은 설득력이 있다.

카드업계를 포함한 금융권에선 주민등록번호만 암호화해도 고객정보 유출로 인한 2차 피해를 충분히 막을 수 있다는 입장이다. 정부의 주장과도 일치한다.

금융권 관계자는 "금융정보와 같은 민감한 정보가 유출되더라도 주민번호를 모르면 누구의 정보인지 알 수 없다"며 "사실상 주민번호 암호화만으로도 2차 피해를 충분히 막을 수 있다는 것"이라고 주장했다.

그러면서 그는 "모든 정보를 암호화하라는 건 현실적으로 불가능할 뿐만 아니라 정보를 활용해 상품 개발 등 새로운 수익을 창출하지 말라는 얘기"라고 목소리를 높였다.

이번 개정안이 주민등록번호에만 초점을 맞춘 이유는 고객정보가 유출되더라도 암호화로 인해 사실상 사용할 수 없게 한다는 데 그 목적이 있다. 카드번호와 계좌번호 같은 금융정보가 유출되더라도 누구의 정보인지 알 수 없어 무용지물 된다는 주장이다.

하지만 일각에선 주민등록번호 암호화로 2차 피해를 막을 수 있다는 논리는 현실성을 모르는 처사라며 반박한다.

보안업계 관계자는 "일부 인터넷 사이트만 보더라도 카드번호와 유효기간만으로 본인확인이 가능하다"면서 "주민등록번호만 암호화해 2차 피해를 막을 수 있다는 건 현실을 모르는 정부의 허황된 꿈"이라고 꼬집었다.

실제 인터넷 사이트 회원가입을 하거나 비밀번호나 아이디 등을 분실했을 때 주민등록번호 말고도 카드번호와 유효기간으로 본인확인이 가능하다. 금융정보가 식별정보로도 쓰인다는 얘기다.

대형 카드사 보안부문 관계자는 "주민번호 암호화만으로 정보유출을 막을 수 있다는 주장은 주민번호만 유일한 식별정보였을 때 얘기"라며 "휴대폰번호나 카드번호 등 다양한 방식으로 인증수단이 개발된 상황에서 주민번호만 암호화하겠다는 건 현실과 동떨어진 얘기"라고 비판했다.

이어 그는 "카드만 보더라도 해외 인터넷 쇼핑몰에선 카드번호와 유효기간, CVC만 알면 구매가 가능하다"며 "한국의 주민번호는 해외 어느 사이트에도 요구하지 않는다. 개인정보보호에 대한 현실적인 대안이 필요할 때"라고 지적했다.