우리은행 고객 연계정보, 1만7500여건 유출···“악용 사례 없어”

“외부 개발업체 직원 과실”
최초 유출 이후 9개월 지나 인지

서울 중구 우리은행 본점. 연합뉴스

우리은행의 고객정보 1만7500여건이 외부로 유출되는 사고가 발생했다. 우리은행은 최초 유출 이후 9개월이 지나 인지했다. 다만 우리은행은 외부 개발업체가 직원 과실로 유출했다며 유출된 정보는 닉네임과 연계정보(CI)로 암호화된 정보이기 때문에 고객 식별이 불가능해 범죄에 악용될 우려는 없다고 밝혔다.

우리은행은 3일 고객 공지를 통해 “최근 NFT(대체 불가능한 토큰) 플랫폼 구축 프로젝트를 수행한 외부 개발업체가 임의로 보관하고 있던 개인정보 1만7551건이 해당 업체 과실로 유출되는 일이 발생했다”고 밝혔다.

우리은행 고객 중 NFT 플랫폼 이용 의사를 밝히고 개인정보 제공에 동의한 이들의 연계정보(CI)와 닉네임이 유출된 것으로 파악됐다. CI는 온라인에서 개인을 식별하기 위한 암호화 정보이며 닉네임은 NFT 서비스에서 이용자가 설정한 별칭이다. 전화번호나 주민등록번호, 주소 등 개인정보나 신용정보는 유출되지 않았다고 우리은행은 설명했다.

우리은행은 지난 2024년 9월부터 NFT 플랫폼 구축 사업을 수행한 외부 개발업체에 해당 정보를 넘겼다. 이 업체 직원은 그러나 구축 사업이 종료된 이후인 지난해 9월 우리은행 고객정보가 포함된 파일의 링크를 개발자들이 사용하는 플랫폼에 공유하며 외부로 유출했다.

이를 본 플랫폼 이용자가 최근 한국인터넷진흥원(KISA)에 신고하면서 우리은행도 금융보안원을 통해 지난달 30일 유출 사실을 인지했다.

우리은행은 “6월30일 유출 사실을 인지한 즉시 개발업체를 통해 관련 정보 접근을 차단했고 개인정보보호위원회 신고 및 (개발업체) 홈페이지에 관련 사실을 공지했다”고 밝혔다.

현재까진 유출된 정보가 온·오프라인을 통해 확산하거나 악용된 사례는 발생하지 않았다고 우리은행은 밝혔다. 다만 동일한 CI가 이미 다른 경로로 유출돼 개인정보와 결합이 가능한 경우엔 악의적으로 활용될 가능성이 있다.

우리은행은 “유출된 정보만으로는 고객을 특정하거나 식별하기는 불가능하다”며 “다만 혹시라도 발생할 수 있는 보이스피싱과 스미싱 등의 피해 방지를 위해 출처가 불분명한 전화번호 수신 및 문자메시지 내 인터넷주소(URL) 링크 클릭에 각별한 주의를 기울여 주실 것을 부탁드린다”고 당부했다.

우리은행은 “이번 유출로 피해가 발생할 경우에는 최대한 신속하게 확인하고 보상해드릴 것을 약속한다”며 “이번 일을 계기로 개발업체의 개인정보 관리 현황을 전수 조사해 미흡한 점은 즉시 시정하겠다”고 밝혔다.

배재흥 기자 heung@kyunghyang.com