평온했던 주말, “당신의 개인정보가 유출됐다”는 문자메시지가 날아왔다. 이번엔 CU편의점택배를 운영하는 BGF네트웍스다. 이틀 전에도 온라인동영상서비스(OTT) 업체인 ‘티빙(TVING)’으로부터 같은 내용의 통보를 받았다. 너무 잦은 일이라 별로 놀랍지는 않았다.

티빙 때는 유출된 정보가 이름·성별·생년월일 정도였다. 이에 더해 CU편의점택배에선 휴대전화번호·집주소·e메일 등이 더 털렸다. 어쩐지 못 보던 대리운전 스팸과 정체 모를 피싱메시지가 날아들더라니. 그런데 ‘심증’은 있어도 ‘물증’은 없다. 유출사고를 낸 업체들에 책임을 물을 생각도 물론 없다. 20년 넘게 개인정보 유출 피해를 당했다. 포기한 지 오래다.

사흘 새 “개인정보 유출” 두 번 통보
기업들 무성의한 통보에 분노만
20년 넘게 사고 근본 원인은 ‘외면’
“이미 다 유출” 공직자가 할 소린가

그래도 매번 적응이 안 되는 건 놀랍도록 ‘무성의한’ 기업들의 태도다. 개인정보 유출사고가 잇따르자 정부는 ‘개인정보 유출 등 사고대응 매뉴얼’을 만들어 배포했다. 기업도 매뉴얼을 충실히 따르는 추세다. 문제는, 그게 전부라는 것이다. 사후약방문식의 매뉴얼이 나온 뒤 유출사고는 줄었는가. 피해가 더 회복됐는가. 그렇지 않다. 기업들이 매뉴얼을 충실히 따르는 이유는 그렇게 해야 법적 책임을 면할 수 있기 때문이다. 예를 들어 ‘72시간 이내 유출사고 통지’는 최근 상당히 잘 지켜지는데, 이를 어겼을 경우 법정에서 과실로 입증되기가 비교적 쉬워서다.

기업들이 유출 사실을 알리는 문자메시지나 e메일을 보면 형식이나 내용도 판박이처럼 똑같다. 매뉴얼을 따른 결과이기도 하고, 매뉴얼만 베낀 결과이기도 하다. 매뉴얼에 따르면 피해접수나 구제를 위한 신고센터의 전화번호를 안내하게끔 되어 있다. 피해접수라며 안내된 티빙 번호로 전화했더니 “피해접수는 전화로 안 된다. e메일로 하라”는 답변만 돌아왔다. CU편의점택배 피해접수 번호로 전화해보니 “비밀번호를 변경해달라”는 말이 전부였다. 유출된 정보도 이름·전화번호 등까지는 알겠는데 CI·DI가 뭔지, ‘비밀번호(단방향 암호화)’는 무슨 의미인지 설명도 없고 안내도 없다. 이런 요식행위들을 보자면 사고대응 매뉴얼은 사고대응 ‘면죄부’로 불리는 게 더 합당해 보인다.

반복되는 유출사고를 보면서 안타까운 점은 근원적인 문제가 무엇인지 알면서도 고칠 생각이 없다는 것이다. 개인정보를 수집하고 관리하는 기업들 태반은 해킹 등 외부 공격으로부터 정보를 지키고 보존할 능력이 없다. 그럼에도 기를 쓰고 개인정보를 수집한다. 무슨 배짱인지 모르겠다.

정부에서 이를 뭐라 하면 처음엔 e메일 정보 정도만 수집했다가 서비스 통합이니 추가 혜택이니 하며 야금야금 추가 개인정보를 요구하는 곳이 적지 않다. 그게 돈이 되거나, 돈이 덜 들거나여서다. 깃털만큼 가벼운 처벌 문제도 하루이틀 나온 게 아니다. 개인정보 유출에 대한 징벌적 손해배상이나 집단소송이 있는 나라도 아니어서 피해자들이 합당한 보상을 받을 수 있는 구조도 아니다.

비식별정보라도 쌓이고 쌓이면 식별정보가 될 수 있다. 최근 경찰에 검거된 한 해킹조직은 국내 공공기관 사이트 등 6곳을 해킹해 얻어낸 개인정보들을 조합해 피해자들로부터 거액의 금융자산을 빼돌렸다. 인공지능(AI)이 고도화되면서 AI를 활용한 해킹이 어디까지 진화할지도 알 수 없다.

유출된 개인정보로 인한 ‘2차 피해’를 막기 위한 노력도 어느 시점부터는 멈춰 섰다는 느낌을 지울 수 없다. 여전히 주민등록번호는 본인 확인 수단으로 공공기관에서 폭넓게 쓰이고 있다. 주민번호의 대체재로 등장했던 ‘아이핀’(인터넷개인인증번호)은 복잡하고 불편하다는 이유로 외면받은 지 오래다.

정부가 노력을 포기하지 않았기를 바라지만, 최근 발생한 모 공공기관의 개인정보 유출사고에 대한 내부 관계자의 인식 수준이 우려스러워 있는 그대로 통화 내용을 전달하고자 한다. 참고로 이 사이트에서는 가입자별로 성명·생년월일·전화번호 등이 유출됐다.

“지방선거를 앞두고 사고가 나서 부담스럽다. 그리고 이 정도 개인정보는 이미 다 유출됐다고 봐야 하는 것 아닌가.”