‘유출정보 재편집’ 손쉬워…“다른 정보”라는 해명 무색

엑셀 전환·추가정보 갱신 가능
‘쇼핑몰 정보’까지 결합땐 심각

* 유출정보 재편집 : 정보맵핑

신용카드사에서 유출된 개인정보의 원본과 복사본을 모두 압수해 외부로 유통되지 않았다는 당국의 입장과 달리, 시중에는 카드번호·유효기간을 비롯한 개인정보들이 떠돌고 있는 것으로 드러났다. 카드사·금융당국·검찰이 일제히 “이번에 유출된 정보와는 다르다”고 반박하고 나섰으나, 디지털 데이터 특성상 변동된 형태로 유통이 가능하다는 분석이 나온다.

“개인정보 브로커가 롯데카드의 카드번호·유효기간 정보를 판매하고 있다”는 제이티비시(JTBC)의 보도에 대해 롯데카드는 “이번에 유출된 정보가 아니다”라고 해명에 나섰다. 브로커가 제시한 파일에 있는 주소·전화번호 등이 롯데카드 데이터베이스에 저장된 것과는 달랐다는 것이다. “브로커가 과거에 입수한 출처 불명 자료에 카드번호와 유효기간을 포함시킨 후 이번에 유출된 개인정보라고 주장”한다는 얘기다.

검찰도 마찬가지 입장이다. △검찰이 압수한 파일은 텍스트 파일이었지만, 브로커가 제시한 파일은 엑셀 파일이라는 점 △브로커는 8월부터 롯데카드 정보가 유통됐다고 주장했지만, 이번 사태의 유출범이 롯데카드 정보를 빼간 시기는 12월로 각각 다르다는 점을 들었다. 다만, 추가적인 정보유출 가능성을 감안해 확인 작업을 거쳐 수사하겠다고 밝혔다.

그러나 디지털 정보의 특성상 형식과 내용이 다르다고 해도 이번 사고와 무관하다는 결론을 내리기는 어렵다. 텍스트 파일은 엑셀 파일로 쉽게 전환 가능하다. 엑셀로 전환한 뒤에는 필요없는 정보를 솎아내기 쉬워진다. 또, 다른 데이터와 결합시켜 더 완전한 데이터를 만들 수도 있다. 주민번호나 주소를 기반으로 해서 정보를 분류하고 다른 개인정보와 합치거나, 내용을 갱신하는 일도 어렵지 않다.

실제로 이번 정보유출의 진원으로 지목된 코리아크레딧뷰로(KCB)와 같은 신용정보업체가 하는 일도 ‘표준화’를 통한 데이터 재분류 작업이다. 국내 최대 신용정보업체인 나이스평가정보가 회원사에 제공하는 서비스를 보면, 카드사가 보유한 ‘카드 신청 정보’에 신용정보기관이 자체 보유한 고객정보를 합쳐 ‘내·외부 통합 고객 정보’를 만들어준다. 예를 들어 기존의 회원 정보에 고객 주소가 없거나 이전 주소로 기재됐더라도, 나이스가 보유한 자택 및 직장 정보, 케이비(KB) 부동산 실거래가 정보, 기업 정보를 비교해 가장 최근의 주소로 결과물을 합쳐준다.(사진) 이런 기법을 ‘정보 매핑’(mapping)이라고 부른다. 정보 유출자인 박아무개 케이시비 차장은 카드사의 개인정보를 빼내 대출 모집 프로그램을 만들려 했을 정도의 정보기술(IT) 전문가인 만큼, 이런 작업에도 익숙했을 것으로 보인다.

카드사들의 주장대로 이번에 유출된 자료가 아니라고 해도 카드번호·유효기간 등이 이미 유통되고 있었다면 더 심각한 문제다. 시중에서 민감한 신용정보가 유통되고 있는데도 당국은 인지조차 하지 못하고 있었다는 얘기다. 이번 유출은 빙산의 일각에 불과할 수도 있다. 케이비국민카드 관계자는 “카드번호·유효기간을 저장하는 건 카드사만이 아니고, 쇼핑몰 등도 있다”고 주장했다. 이번에 유출된 정보뿐 아니라, 기존 인터넷 사이트·유통망 등에서 유출된 회원정보 등을 결합하면 ‘개인정보 완전판’을 만들 수 있다는 우려도 커져 가고 있다.

정유경 기자 [e-mail]