새마을금고 400명 유출·티빙 3954만명…보안 사고의 두 얼굴

하루에 겹친 두 건의 유출 공지

10월 13일 새마을금고중앙회는 홈페이지 공지를 통해 공제 회원 400여명의 개인정보가 해킹으로 유출됐다고 밝혔다. 유출 항목은 고객번호와 이름, 암호화된 주민등록번호, 계좌번호, 생년월일, 휴대전화번호, 주소, 그리고 잔액까지 포함된다. 대상은 새마을금고 생명공제·손해공제에 가입한 회원들이다.

같은 날 국회 정무위원회 국정감사장에서는 OTT 플랫폼 티빙의 최주희 대표가 증인석에 섰다. 티빙은 국내 이용자 3954만여 명의 개인정보 유출로 논란이 됐고, 최 대표는 이번 사고를 인공지능 기반 해킹에 따른 것으로 추정한다고 답했다.

400명과 3954만명, 숫자 차이가 전부가 아니다

두 사고는 규모가 10만 배 가까이 차이 나지만, 위험도를 단순 비교하기는 어렵다. 티빙 유출은 전 국민 규모에 가깝다는 점에서 사회적 충격이 크지만, OTT 서비스가 보유한 정보는 통상 계정·연락처·구독 정보 중심이다. 반면 새마을금고 건은 계좌번호와 잔액까지 포함된 금융 정보다. 건수는 적어도 보이스피싱이나 계좌 기반 사회공학 공격에 곧바로 쓰일 수 있는 조합이라, 피해자 1인당 노출 위험은 훨씬 높다.

주민등록번호가 암호화된 상태로 유출됐다는 설명도 안심의 근거가 되기 어렵다. 암호화 방식과 키 관리 상태에 따라 복호화 가능성이 달라지고, 주민번호는 이름·생년월일과 결합되면 일부 추정이 가능한 구조적 약점도 있다. 공지에 담긴 "암호화" 한 단어만으로 위험이 사라졌다고 보기는 어렵다는 뜻이다.

왜 지금 금융권과 플랫폼이 동시에 뚫리나

최근 1년 사이 한국에서는 통신사, 유통, 금융, 플랫폼을 가리지 않고 대형 개인정보 침해가 반복됐다. 공통점은 공격자가 단일 취약점을 노리기보다 인증 정보 탈취, 외주·협력사 경로, 자동화된 대량 시도 등 상대적으로 느슨한 지점을 파고든다는 것이다.

티빙 측이 거론한 'AI 기반 해킹' 역시 그 연장선에서 읽을 필요가 있다. AI는 새로운 해킹 기법이라기보다, 크리덴셜 스터핑(유출된 계정 정보 대입)이나 피싱 문구 생성, 취약점 탐색 같은 기존 공격을 훨씬 싼 비용으로 대량 수행하게 만드는 증폭기에 가깝다. 다만 기업이 사고 원인을 "AI 때문"이라고 설명할 때는, 내부 통제 미비라는 책임 소재를 기술 환경 탓으로 돌리는 효과도 생긴다. 국정감사에서 이 설명이 추가 검증을 요구받은 이유다.

새마을금고는 전국 수천 개 지역 금고가 중앙회 아래 묶인 구조라, 보안 투자와 운영 수준이 조직 단위마다 균일하지 않을 수 있다는 지적이 이전부터 있었다. 이번 사고의 정확한 침투 경로는 아직 공개되지 않았으나, 분산형 조직의 보안 격차는 금융권 전반이 공유하는 숙제다.

이용자는 지금 무엇을 해야 하나

유출 통지 대상자는 금융회사가 보내는 개별 안내를 확인하는 것이 먼저다. 계좌번호와 잔액이 포함된 유출의 경우, 가장 현실적인 위협은 해킹으로 돈이 빠져나가는 것이 아니라 본인을 아는 척하는 사칭 전화다. 금융사 직원이나 수사기관을 사칭해 "고객님 계좌에 잔액 ○○○원이 있으시죠"라며 신뢰를 얻는 수법에 쓰이기 좋은 데이터이기 때문이다.

실무적으로는 금융감독원의 개인정보 노출자 사고예방 시스템 등록, 계좌 비밀번호 및 이체 한도 점검, 명의도용 방지 서비스 가입이 즉시 가능한 조치다. 티빙처럼 플랫폼 계정이 유출된 경우에는, 같은 비밀번호를 다른 서비스에 재사용했는지 점검하는 것이 가장 효과가 크다. 크리덴셜 스터핑은 바로 이 재사용을 노린다.

남는 질문

두 사고가 같은 날 보도됐다는 사실 자체가 현재 한국의 개인정보 보호 수준을 보여준다. 쟁점은 사고가 발생했는지가 아니라, 기업이 얼마나 빨리 탐지하고 얼마나 투명하게 알리느냐로 이동하고 있다. 새마을금고 공지가 유출 항목을 비교적 구체적으로 적시한 점은 긍정적이지만, 침투 경로와 탐지 시점이 공개돼야 다른 금융기관도 같은 실수를 피할 수 있다. 규모가 작은 사고일수록 조용히 지나가기 쉽다는 점에서, 400명 사고의 후속 설명이 오히려 중요한 시험대가 될 수 있다.