못믿을 개인정보 추가유출 진실, 입다문 금융당국

보안업계, 피의자 진술 거짓으로 밝혀져 유출·유통범위 확대 가능성 제기

금융당국, 이미 유출된 정보와 다르지 않아 "문제 없어"… 확대 해석 경계

카드 3사 고객정보 추가 유출이 확인된 가운데, 유출시점이 처음 검찰 발표와 다르고 피의자 진술이 거짓으로 드러나 정보유출 규모가 더 커질 것이라는 지적이 나온다. ⓒ데일리안

카드 3사 고객정보 추가 유출 가능성이 제기된 가운데, 첫 정보 유출시점을 놓고 검찰 발표와 피의자 진술이 달라 개인정보 유출 규모가 확대될 가능성이 제기되고 있다.

제기된 의혹은 두가지다. 박 모씨가 코리아크레딧뷰로(KCB)에 입사하기 전부터 카드사 개인정보가 그에 의해 새어나가 유출 규모가 늘어날 가능성과 불법정보 유통업자인 조 모씨의 거짓 증언으로 '유통무근'이라는 금융당국의 입장을 믿을 수 없다는 의혹이다.

이는 금융당국이 2차 정보 유출로 인해 새로운 고객정보가 새어나가지 않았다는 주장과 정면 대치된다는 점이다.

19일 금융권에 따르면 검찰은 지난 14일 국민카드, 롯데카드, 농협카드에서 고객정보 8270만건이 추가로 유출됐다고 밝혔다. 이번 검찰의 발표는 앞서 밝혔던 중간 수사결과보다 유출 규모가 늘어난 것이다.

유출 시점은 최초 유포자로 알려진 박 모씨가 코리아크레딧뷰로(KCB)에 입사하기 전에 발생했다. 박 모씨가 KCB에서 일하기 전부터 고객정보를 유출했을 가능성을 말한다.

검찰 발표에 따르면, 지난 1월 박씨는 2012년 10월 농협카드에서 처음 고객정보를 유출했다. 하지만 검찰은 기존 수사결과를 번복하며 박씨가 이미 1년 전인 2011년 1월 롯데카드에서 고객정보 250만건을 유출한 것으로 말을 바꿨다. 시기상으로 첫 검찰의 발표한 유출시점보다 1년9개월 앞서 고객정보가 외부로 새어나갔다고 유추할 수 있는 대목이다.

박씨가 KCB에 입사한 시기는 2012년 5월이다. 롯데카드에서 정보가 흘러나간 2011년 1월은 박씨가 KCB에 입사하기 1년4개월 전이다.

당시 박씨는 비아이랩이라는 IT회사에서 근무했다. 비아이랩도 부정사용방지시스템(FDS) 프로젝트 사업을 영위하고 있어 카드사 용역 업무를 도맡았다.

지난달 국회 국정조사때도 유출시점에 대한 의혹이 제기된 바 있다.

당시 이상직 민주당 의원은 박씨가 과거 비아이랩이 부정사용방지시스템(FDS) 솔루션 개발 업체에서 근무한 사실을 지적했다. 그러면서 이 의원은 이곳에서 정보 유출 사례가 없는지 봐야 한다고 문제를 제기했다.

최초 유출시점이 바뀌면서 이 의원이 제기한 의혹은 상당 부분 사실로 드러날 가능성이 높아졌다.

카드사 개인정보 유출 피의자로 구속기소된 박 모씨(오른쪽)과 조 모씨(왼쪽)가 지난 2월18일 국회 청문회에서 모자와 마스크를 쓴 채 고개를 숙이고 참석하고 있다. ⓒ데일리안 홍효식 기자

또 박씨가 비아이랩에서 근무할 당시 롯데카드 외 다른 카드사나 금융권 용역 업무를 맡았던 사실이 드러나면 정보유출 규모는 눈덩이처럼 불어날 수 있다. 박씨의 족적에 따라 정보유출 규모를 가늠해 볼 수 있게 된 셈이다.

비아이랩 관계자는 "박씨는 비아이랩에서 프리랜서로 근무했다"며 "우리는 아직 검찰로부터 수사를 받지 않았고 관련 사실을 파악하지 못하고 있다"고 해명했다.

최초 유출시점이 바뀌면서 추가 유출 의혹이 제기됨에도 불구하고 금융당국은 기존 입장만 되풀이하고 있다. 금융당국은 개인정보의 중요성을 실감했다며 뼈저린 반성을 했던 만큼 의혹들이 눈덩이처럼 불어나는데도 추가 진상규명없이 요지부동이다.

금융당국 관계자는 "이번에 추가 유출이 확인된 8270만건 모두 기존에 유출됐던 1억400만건과 모두 같은 것으로 확인됐다"며 "유출시점만 다르지 유출된 고객정보는 일치한다"고 확대 해석을 경계했다.

하지만 불법정보를 유통한 조 모씨의 증언이 모두 거짓으로 드러난 이상 '유출됐어도 유통은 없다'란 금융당국의 주장은 신빙성을 잃었다.

조 씨는 지난 국회 청문회에서 "오라클이라는 프로그램을 사용할 줄 몰라 엑셀로 된 100만건만 팔아넘겼다"고 증언했었다.

조 씨의 증언과 달리 청문회 이후 검찰에 의해 밝혀진 수사내용은 조씨가 대출모집인에게 100만건 외에도 8270만건의 정보를 유출한 것을 재확인했다. 100만건만 팔아넘겼다는 조씨의 증언 모두 위증으로 드러난 것이다.

보안업계 관계자는 "박씨의 범행이 유출대상을 한정했다면 조씨의 범행은 유통범위를 대변한다"며 "박씨와 조씨의 진술이 거짓으로 밝혀짐에 따라 정보 유출대상과 유통범위는 얼마든지 확대될 수 있다"고 경고했다.