<우리은행 개인정보 유출 관련 공지, 출처 : 우리은행>

우리은행이 추진했던 NFT 서비스와 관련해 이용자 1만7551명의 개인정보가 외부로 새어나간 사실이 뒤늦게 드러났다. 다만 이번 사고는 은행 전산망이나 인터넷뱅킹 시스템이 뚫린 해킹 사건이 아니라, 사업이 끝난 뒤에도 외부 개발업체 직원이 고객정보를 임의로 갖고 있다가 개발자 플랫폼에 자료를 올리는 과정에서 벌어진 일로 파악됐다.

우리은행은 7월 3일 고객 공지를 통해 사고 사실을 알렸다. 유출된 정보는 NFT 서비스 이용 시 설정한 닉네임과, 온라인 서비스에서 동일 이용자를 식별하는 연계정보인 CI 두 가지였다. 계좌번호나 비밀번호, 인터넷뱅킹 계정정보, 주민등록번호, 주소, 금융거래 내역 등은 이번 유출 범위에 포함되지 않았고, 대상자도 은행 전체 고객이 아니라 NFT 서비스 이용에 동의했던 고객으로 제한됐다.

사고의 뿌리는 2024년 9월 시작된 NFT 플랫폼 구축 사업으로 거슬러 올라간다. 우리은행이 원청업체에 사업을 맡기고, 원청업체가 블록체인 기업 블로코에 일부 개발을 재위탁하는 구조였다. 블로코는 2024년 9월부터 2025년 2월까지 이 사업에 참여했다.

사업이 끝나면 관련 개인정보는 당연히 파기돼야 했고, 우리은행도 삭제 완료를 뜻하는 파기확인서를 받아둔 상태였다. 하지만 실제로는 재수탁업체 소속 직원이 자료를 따로 갖고 있었던 것으로 확인됐다. 블로코 측 설명으로는 이 직원이 2025년 9월경 닉네임과 CI가 담긴 자료의 링크를 외부에 노출시켰다고 한다. 이 설명이 맞다면 실제 노출부터 은행이 사고를 알아차리기까지 약 9개월이라는 시간이 흐른 셈이다. 우리은행은 지난 6월 30일 사고를 인지한 뒤 곧바로 정보 접근을 차단했다.

유출된 CI를 둘러싼 우려도 짚어볼 필요가 있다. CI는 여러 온라인 서비스에서 같은 사람임을 확인하는 데 쓰이는 값이지만, 주민등록번호 자체는 아니어서 이 값만으로 개인을 특정하거나 주민등록번호를 되살릴 수는 없다. 그렇다고 완전히 안전한 정보로 보기도 어렵다. 다른 곳에서 유출된 이름이나 전화번호와 CI가 합쳐지면 개인을 식별하는 데 쓰일 수 있고, 여러 서비스가 공통으로 이용하는 값이라 장기간에 걸쳐 악용될 여지도 있다. 그래서 이번 사고를 '별것 아닌 닉네임 유출'로 가볍게 보거나, 반대로 '계좌가 털릴 수 있는 심각한 금융사고'로 부풀리는 것 모두 정확한 진단은 아니다.

정리하면 이번 사고의 원인은 외부 해킹이 아니라 위탁 개발 과정에서의 관리 실패다. 다만 '직원 개인의 과실'로만 설명하기엔 남는 의문이 있다. 우리은행과 원청업체가 재수탁업체의 자료 보관·삭제 여부를 서류 확인 외에 기술적으로도 검증했는지, 개발자의 개인 저장공간 이용을 통제할 장치는 있었는지가 앞으로 밝혀져야 할 부분이다. 파기확인서까지 받았는데도 자료가 남아 있었다는 사실 자체가 외주 관리의 구조적 허점을 보여준다는 지적도 나온다.

우리은행은 현재까지 유출 정보가 추가로 확산되거나 실제 범죄에 이용된 사례는 확인되지 않았다고 밝히며, 이상거래 감지 시스템 모니터링을 강화하고 피해 확인 시 신속히 보상하겠다는 입장을 내놨다. 고객들에게는 출처가 불분명한 전화나 문자에 유의하고, 유출 여부는 은행 공식 홈페이지에서만 확인하라고 안내했다.

금융당국의 움직임도 이어지고 있다. 금융감독원은 우리은행에 자체 점검과 재발방지대책 마련을 요구했으며, 위탁·재위탁 과정에서 정보 제공 범위가 적절했는지, 데이터가 실제로 삭제됐는지, 재수탁업체 관리·감독이 제대로 이뤄졌는지를 들여다볼 계획이다. 개인정보보호위원회도 별도로 사고 경위와 법 위반 여부를 확인 중이나, 7월 7일 현재 최종 조사 결과는 나오지 않았다.

감사·내부통제 전문지 BLACK EDGE / 강호림 기자