3일 우리은행에 따르면 해당 정보는 우리은행이 2024년 9월 대체불가토큰(NFT) 플랫폼 구축 프로젝트를 수행하는 과정에서 외부 개발업체에 공유한 정보다. 프로젝트 종료 이후 해당 업체 직원이 임의로 정보를 보관하고 있다가 개발자 플랫폼에 이를 공유하면서 외부로 유출됐다.
우리은행은 지난달 30일 유출 사실을 인지한 직후 외부 개발업체를 통해 관련 정보에 대한 접근을 차단했다. 개발업체는 개인정보보호위원회에 유출 사실을 신고하고 자사 홈페이지에 관련 내용을 공지했다.
유출된 정보는 이용자 닉네임과 연계정보(CI)다. CI는 주민등록번호를 암호화해 생성한 값으로, 주민등록번호 원본이 직접 유출된 것은 아니라는 게 은행 측 설명이다. 이에 따라 금융 자산이 직접적으로 탈취될 가능성은 크지 않은 것으로 보고 있다. 다만 CI가 주민등록번호를 기반으로 생성돼 평생 변하지 않는 고유한 식별값인 만큼, 다른 경로에서 유출된 개인정보와 결합될 경우 타깃형 보이스피싱이나 명의도용 등에 악용될 소지가 있다는 우려도 나온다.
우리은행 측은 현재까지 유출 정보가 온·오프라인에서 확산되거나 악용된 사례는 보고되지 않았다는 입장이다. 이번 유출로 인한 고객 피해가 확인될 경우 신속히 사실관계를 파악하고 보상에 나선다는 방침이다. 우리은행 관계자는 “금융감독원 요구에 따라 자체 조사를 진행 중이며, 개인정보보호위원회의 별도 조사 가능성도 열려 있다”며 “추후 조사 과정에서 피해 사례가 확인될 경우 관련 법규와 내부 기준에 따라 적절한 절차를 밟아 대응할 것”이라고 밝혔다.
우리은행은 정진완 은행장 명의의 사과문도 고객에게 발송했다. 우리은행은 사과문에서 “이용자 닉네임은 서비스에서 자신을 표현하기 위해 임의로 입력하는 별칭으로, 회원 ID나 로그인 계정 정보는 아니다”라며 “CI는 온라인에서 개인을 식별하기 위한 값으로, 해당 값만으로는 특정 개인을 알아볼 수 없는 정보”라고 설명했다.
이어 “이번 일을 계기로 개발업체의 개인정보 관리 현황을 전수 조사해 미흡한 점은 즉시 시정 조치하겠다”며 “우리은행 자체의 개인정보보호 체계도 한층 강화해 어떠한 유형의 개인정보 유출도 재발하지 않도록 하겠다”고 밝혔다.
최은희 기자 joy@kukinews.com
