티빙 해킹으로 인한 CI 유출의 위험성

티빙의 해킹으로 인한 개인정보 유출사고는 그간 수면 아래에 숨어있던 중요한 개인정보의 존재를 수면 위로 극적으로 끌어올린 듯 하다. 그래선지 여타 개인정보 유출사고에 비해 언론들이 다루는 언조가 조금 무겁다. 어떤 언론들은 마치 호떡집에 불난 듯 이러쿵 저러쿵 신나게 떠들어 댄다. CI라는, 일명 온라인 주민등록번호가 유출되었기 때문에 당장이라도 불법적인 휴대폰 개통, 은행의 계좌개설이 벌어질 것 처럼 보도하고 있다.

필자도 얼마 전 티빙으로부터 개인정보가 유출되었다는 문자메시지를 받았다.

CI(Connecting Information) 란?

일부 언론에서 보도하는 것 처럼 온라인에서 주민등록번호 대신 사용되는 CI가 유출되었으니 다른 사람의 CI를 사용해 스마트폰 개통, 은행 계좌개설 등이 가능할 수도 있다는 언론들의 보도는 100% 거짓이라는 결론부터 말해야 할 것 같다. 이 글을 끝까지 읽을 사람이 그다지 많지 않을 것이기 때문이다.

CI란 정보통신서비스제공자(네이버, 카카오 등)가 이용자의 동의를 받아 방송미디어통신위원회로 부터 엄격한 지정심사를 통과하여 온라인에서 법적 효력을 갖는 “본인확인서비스”를 제공할 수 있는 권한을 위임받은 본인확인기관으로부터 이용자가 본인확인을 완료할 경우 수집할 수 있는 이용자 식별코드다. (88개의 영문 대문자, 소문자, 숫자, 특수문자로 구성)

이해하기 조금 어려운가? 쉽게 말하서 이용자가 “나는 대한민국에서 살고 있는 홍길동이라는 사람이고 지금 당신네의 서비스를 이용하는 내가 홍길동이 맞아” 라는 걸 본인확인기관의 본인확인서비스를 통해 정보통신서비스제공자에게 입증하는 것이 “본인확인”이고 그 결과로 제공하는 것이 CI다. 정보통신서비스제공자는 이용자가 본인확인서비스를 통해 본인확인기관으로 부터 CI를 제출하면 이용자가 “홍길동”이라고 믿어도 되는 것이며 이용자가 홍길동이라는 것을 본인확인기관을 통해 법적 효력이 있는 방법으로 확인한 것이다.

CI는 정말 온라인 주민등록번호인가?

언론들은 흔히 CI를 “온라인 주민등록번호”라고 말한다. 하지만 이 말이 성립하려면 CI로 부터 주민등록번호를 추출할 수 있어야 하는데 일단 CI로 부터 주민등록번호를 추출하는 것은 현재의 컴퓨팅 기술로는 불가능하다.

CI를 만드는데 주민등록번호를 사용하는 것은 맞다. 하지만 비밀번호를 암호화할 때 사용하는 일방향 암호화 함수를 사용하기 때문에 역으로 CI로 부터 주민등록번호를 추출하는 것은 불가능하다. 그리고 주민등록번호와 동일하게 사용되지도 않는다. 이용자는 자신의 CI를 알고 있을 필요도 직접 사용할 일도 없다.

그리고 설사 해커가 홍길동의 CI를 알고 있다고 해서 홍길동의 명의로 휴대폰을 개통하거나 신용카드를 발급받거나 하는 것은 불가능하다. CI는 본인확인 과정의 결과로 본인확인기관이 정보통신서비스 제공자에게 “지금 당신이 제공하는 정보통신 서비스를 이용하는 사람이 홍길동이 맞아”라는 증거로 CI를 주는 것이다. 따라서 해커가 “나 홍길동이야” 라며 CI를 정보통신서비스제공자나 금융기관에게 줄수도 없고 받지도 않는다. 또 이용자가 관공서에 방문하여 CI를 입력하거나 하는 경우도 없다.

결론적으로 CI는 주민등록번호를 기반으로 만들기는 하지만 온라인 주민등록번호라고 부르는 것은 적절하지 않다.

CI는 왜 사용하게 되었는가?

CI를 이해하기 위해서는 “본인확인서비스”가 왜 필요한지를 이해해야 한다. 본래 본인확인이란 휴대폰 개통, 은행 계좌 개설 등 “법적으로 명의자 본인이 맞는지를 확인할 의무”가 있는 이동통신사, 은행, 증권사 등이 명의자의 실명과 본인여부를 “확인”하는 것이다. 그래서 명의자 본인이 맞다는 것을 신분증을 통해 신분증의 얼굴과 실제 얼굴이 일치하는지, 계약서 작성 시 입력한 이름, 주민등록번호가 신분증과 일치하는지를 확인하는 것이 바로 “본인확인”이다.

그런데 오프라인에서는 실물 신분증을 통해 본인확인 의무를 이행하면 되는데 온라인 서비스를 통해 휴대폰을 개통할 때는 심각한 문제가 발생할 수 있다. 신분증을 사진이나 스캔이미지로 제출하여 본인임을 확인하게 되면 타인이 명의를 도용하는 것인지를 확인할 수 없다. 또한 신분증 이미지에 있는 주민등록번호, 사진, 이름 등 중요한 개인정보가 유출될 수도 있다.

그래서 오프라인의 신분증 “확인”을 대신하여 온라인상에서 본인임을 “확인”할 수 있도록 하고 본인임이 확인되면 정보통신서비스 제공가자 “본인확인 의무”를 다했다는 것을 입증할 수 있도록 하기 위해 이용자의 CI를 정보통신서비스 제공자에게 제공하는 것이다. 즉 CI는 주민등록번호가 아니라 본인확인이 완료되었음을 입증하는 값이다.

그리고 CI를 사용하는 또 다른 이유가 있다. 바로 두 서비스를 이용하는 회원이 동일인 여부를 “확인”하기 위함이다. 두 서비스가 제휴를 맺어 포인트를 상호 교환할 수 있는 서비스를 제공한다고 할 때 예전에는 주민등록번호를 활용해 수 서비스를 이용하는 회원이 동일인인지 여부를 “확인”했다. 하지만 본인확인서비스를 통해 CI를 갖고 있는 서비스라면 두 서비스를 이용하는 회원의 CI가 같은지만 “확인”하면 주민등록번호를 사용하지 않고도 동일인임을 “확인”할 수 있다.

그래서 CI를 사용하는 것이다. CI는 주민등록번호를 사용하지 않고도 주민등록번호를 사용하는 것과 같이 본인확인과 동일인 여부를 확인하기 위해 사용하는 것이다.

즉 CI는 정보통신서비스제공자가 이용자의 실지명의자 본인여부를 확인하기 위한 용도지 서비스에 로그인하거나 휴대폰을 개통하거나 할때 본인인증을 위한 용도가 아니다. 흔히 본인확인을 본인인증이라고 표기하는 경우가 많은데, 이는 명백하게 잘못 사용되는 용어다.

마지막으로 정리하자면 정보통신서비스는 서비스 유형에 따라 이용자가 제시한 개인정보가 실제 본인의 것이 맞는지 “확인”해야할 법적 의무가 있으며 그 때 서비스를 이용하려는 이용자의 실지명의가 이용자 본인이 맞는지 확인할 때 적용하는 서비스가 바로 “본인확인”이다. 그리고 그 본인임을 법적 효력을 갖추어 정보통신서비스 제공자 대신 확인해주는 기관이 본인확인기관이고 그 서비스가 본인확인서비스다.

CI 유출의 위험

그렇다면 CI가 유출되면 어떤 위험이 있을까?

언론이나 선동하기 좋아하는 일부 변호사 등이 주장하는 대로 계좌 도용, 휴대폰 개통 등이 가능할까? 다시 한번 말하자면 그것은 불가능하다. 인터넷을 통해 휴대폰을 개통하거나 계좌를 개설하기 위해서는 이용자의 동의를 받아 본인확인 기관이 제공하는 “본인확인 과정”을 거쳐 본인확인 기관으로부터 정보통신서비스 제공자가 CI를 수집해야만 가능하다. 해커가 해킹을 사용하여 외부에서 확보한 CI로 휴대폰을 개통하거나 계좌를 개설하는 것, 본인확인을 거쳐야 가입할 수 있는 서비스에 가입하는 것은 기술적으로 불가능하다.

그 이유는 정보통신서비스제공자는 본인확인 시 CI를 반드시 본인확인기관에서만 받을 수 있도록 엄격하게 규제하고 있기 때문이다.

다만 CI는 주민등록번호를 기반으로 국민 1인당 1개씩만 발급하고 바꿀 수 없게 설계되어 있기 때문에 두 서비스에 동일한 CI를 가진 회원이 있다면 그 회원은 명백하게 “동일한 사람”이라는 것을 알 수 있는 “위험”이 있다. 즉 A라는 서비스에 이름과 이메일 주소만 있고 B라는 서비스에 이름, 전화번호와 집 주소가 있다면 “동명이인”이 있을 수 있기 때문에 동일인 이라는 것을 확신할 수 없다. 하지만 A와 B 서비스에 CI가 있다면 이야기가 달라진다. CI가 같은 경우 두 서비스의 회원 완벽하게 동일인이라는 것이 명백하기 때문이다.

따라서 해커가 A 서비스와 B 서비스의 회원정보를 해킹하여 CI를 기준으로 연결(Connection)하게 되면 이름, 전화번호, 이메일주소, 집주소를 완벽하게 조합할 수 있다. 이런 방법으로 여러 서비스를 해킹하여 CI로 연결하면 계좌번호, 신용카드번호 등 특정 개인의 모든 정보를 완벽하게 조합할 수 있는 것이다.

게다가 CI는 평생 바꿀 수 없기 때문에(아직까지는) 10년 전에 수집한 개인정보를 현 시점에 획득한 정보와 연결하더라도 완벽하게 특정인의 살아있는 개인정보를 만들 수 있는 위험이 있다.

티빙(TVING) 개인정보유출사고에서 진짜 문제는?

물론 CI가 유출된 것이 위험하지 않다는 이야기는 아니다. 이름, 전화번호와 같은 일반 개인정보가 유출된 것 보다 위험의 수준이 더 높은 것은 명백하다. 과거에 CI와 함께 유출된 개인정보가 있다면 “결합”을 통해 더 가치있는 개인정보를 생산하는 것이 가능하기 때문이다.

하지만 쿠팡의 개인정보 유출사고에서 진짜 사고의 원인이었던 개발자 직무와 보안시스템 운영 직무를 분리하지 않고 개발자에게 암호키 관리시스템의 접근권한을 부여한 문제는 살짝 묻혀버리고 그저 HSM과 같은 고가의 보안솔루션을 도입하지 않았기 때문에 발생한 사고인 것으로 호도되는 것과 같이 티빙의 개인정보 유출사고도 CI 관리 차원의 문제로 묻혀버릴 가능성이 많다.

티빙의 개인정보유출사고에서 얻어야 하는 교훈은 무분별한 SaaS 서비스의 도입이다. 요즘은 워낙 클라우드를 통한 정보시스템의 구축이 대세다 보니 필자가 방문하는 수 많은 기업들이 무분별하게 SaaS 서비스를 도입하고 있다.

충분히 직접 구축해 운영하는 것이 더 효율적이고 안전할 수 있음에도 유행처럼 IaaS 클라우드를 사용하고 개발 및 운영인력이 부족하다는 이유로 SaaS를 이용하는 것이다. 티빙의 경우에서 보듯 해커에 의해 침해가 발생한 것으로 보이는 소스코드를 저장하는 형상관리시스템은 직접 구축해 외부로부터의 접근이 차단되는 내부망에서 운영하는 것이 더 안전하다.

형상관리시스템의 구축과 운영은 그다지 어렵지도 않은데다 최근의 형상관리시스템은 자칫 유출되면 치명적인 인증정보(Credential)를 다수 저장하게 되기 때문에 외부에서 접근이 가능한 SaaS 서비스를 사용하는 것은 정말 엄격하게 보안관리가 이루어지지 못할 경우 위험을 매우 높이는 원인이 된다.

하지만 이러한 “진짜”문제는 묻히고 수많은 금융기관과 정보통신서비스 제공자들 그리고 전국민이 편리하게 잘~사용하고 있는 CI의 문제점만 부각시키고 있는 것이 현실이다.

제대로 된 정보보호 관리체계의 구축과 운영의 필요성이 높아지고 있지만 현실에서는 단편적인 문제에만 몰입되어 저지르지 않을 수 있는 과오가 반복되어 커다란 개인정보 유출사고가 반복되는 현실이 실로 안타까울 뿐이다.

#티빙 #TVING #개인정보유출사고 #CI유출