리멤버·할리스 개인정보 유출, '시스템 오류'와 늑장 신고의 민낯

같은 주에 터진 두 건의 유출, 성격은 정반대

명함 관리 앱 리멤버와 커피 프랜차이즈 할리스에서 개인정보 유출 사고가 잇따라 불거졌다. 두 사건은 겉보기엔 흔한 '유출 사고'지만, 원인과 대응 방식이 서로 완전히 다르다는 점에서 한국 개인정보 보호 체계의 서로 다른 두 구멍을 동시에 보여준다.

리멤버를 운영하는 리멤버앤컴퍼니는 지난 15일 개인정보보호위원회에 신고를 마쳤다. 회사 설명에 따르면 이번 건은 외부 침입에 의한 해킹이 아니라 자체 시스템 오류로 이용자 정보가 노출된 경우다. 다만 유출된 회원 수와 명함 건수 등 규모에 대해서는 "공개 시 해커의 표적이 될 수 있다"는 이유로 밝히지 않았다.

할리스는 반대다. 외부 해킹으로 수백만 명 규모의 고객 정보가 빠져나간 것으로 지목됐는데, 신고가 법정 기한을 넘긴 사실이 국회를 통해 드러났다. 이주희 의원은 해킹 경위뿐 아니라 회사가 유출을 언제 인지했고 왜 신고가 늦어졌는지까지 조사해야 한다고 지적했다.

왜 중요한가: '해킹이 아니었다'는 해명의 함정

기업이 "해킹이 아니라 시스템 오류"라고 말하면 책임이 가벼워지는 것처럼 들린다. 하지만 개인정보 보호 관점에서 이 구분은 피해자에게 아무런 위안이 되지 않는다. 외부 공격자가 방화벽을 뚫었든 내부 설정 실수로 데이터가 그대로 노출됐든, 유출된 정보가 회수되지 않는다는 결과는 동일하다. 오히려 설정 오류나 권한 관리 실패는 '막을 수 있었던 사고'에 가깝다는 점에서 관리 책임이 더 무겁게 평가될 여지도 있다.

규모 비공개 역시 논쟁적이다. "공개하면 해커의 표적이 된다"는 논리는 보안 업계에서 전혀 근거 없는 주장은 아니지만, 정보 주체인 이용자가 자신의 정보가 포함됐는지, 어떤 항목이 노출됐는지 판단할 근거를 잃는다는 반대편 비용이 크다. 국내 개인정보 보호 제도는 유출 사실과 항목, 대응 방법을 정보 주체에게 알리도록 요구하는 방향으로 발전해 왔는데, 이번 설명은 그 취지와 충돌하는 면이 있다.

명함 데이터가 특별히 민감한 이유

리멤버 사고가 단순한 앱 유출과 다르게 읽히는 핵심은 데이터의 성격이다. 명함에는 이름, 소속 회사, 직책, 회사 이메일, 직통 번호, 휴대전화 번호가 한 장에 묶여 있다. 흩어진 개인정보를 모아야 완성되는 프로필이 처음부터 완성된 형태로 저장돼 있는 셈이다.

이 조합은 표적형 피싱, 이른바 스피어피싱에 그대로 쓰인다. "○○사 ○○팀 △△ 부장"이라는 직함과 실제 사내 메일 주소를 아는 공격자는 거래처를 사칭한 송금 요청이나 내부 공지를 가장한 악성 링크를 훨씬 설득력 있게 만들 수 있다. 과거 국내외 대형 유출 사고에서 반복적으로 확인된 2차 피해 경로이기도 하다. 소비자 대상 서비스의 아이디·비밀번호 유출과 비교하면, 명함 데이터는 비밀번호를 바꿔도 피해 가능성이 사라지지 않는다는 점에서 질적으로 다르다.

신고 지연이 반복되는 구조적 이유

할리스 사례의 핵심은 해킹 자체보다 신고 기한 초과다. 국내 제도는 유출을 인지한 시점부터 일정 기한 내에 감독기관 신고와 이용자 통지를 하도록 정하고 있다. 그런데 현실에서 기업은 "인지 시점"을 보수적으로 잡으려는 유인이 있다. 이상 징후를 포착한 시점, 내부 조사로 유출을 확인한 시점, 경영진이 보고받은 시점이 모두 다르고, 어느 것을 기준으로 삼느냐에 따라 위반 여부가 갈리기 때문이다.

이 틈을 이용한 늑장 신고는 이용자에게 직접적인 손해로 이어진다. 통지가 하루 늦어질 때마다 유출된 연락처로 발송되는 피싱 문자에 대비할 시간이 그만큼 줄어든다. 감독기관 입장에서도 로그가 덮어씌워진 뒤에는 유출 경로 추적이 어려워진다.

데이터 주권 논의로 번지는 이유

아시아경제가 '흔들리는 데이터 주권' 기획에서 이 사안을 다룬 데서 보이듯, 논의는 개별 기업의 보안 수준을 넘어 해외 매각 기업의 데이터 관리 문제로 확장되고 있다. 국내 이용자 데이터를 대량 축적한 플랫폼의 지배구조가 해외로 넘어갔을 때, 사고 책임과 감독 권한이 어디까지 미치는지는 아직 명쾌하게 정리된 문제가 아니다. 과학기술정보통신부도 이번 사안을 들여다보고 있다고 밝힌 상태여서, 개인정보보호위원회의 조사와 별개로 정책 차원의 후속 논의가 이어질 가능성이 있다.

이용자는 지금 무엇을 해야 하나

규모가 공개되지 않은 이상, 해당 서비스를 쓴 적이 있다면 본인 정보가 포함됐다고 가정하고 움직이는 편이 안전하다. 실무적으로는 회사 이메일로 오는 송금·결제 관련 요청을 반드시 전화 등 별도 경로로 확인하는 습관이 가장 효과가 크다. 명함 정보 유출의 피해는 대개 기술이 아니라 신뢰를 공격하는 방식으로 나타나기 때문이다. 아울러 주요 계정의 2단계 인증 활성화, 출처가 불분명한 링크 차단 같은 기본 조치는 여전히 비용 대비 효과가 가장 확실한 방어선이다.