온라인 주민번호 CI·DI, 털리면 뭐가 위험한가
최근 유출 사고에서 CI·DI가 함께 새면서 2021년 이후 주민번호 505만여 건, CI·DI 수백만 건이 유출됐다. CI는 주민번호를 일방향으로 바꾼 값이라 그것만으로 주민번호 복원이나 계좌개설은 어렵지만, 여러 서비스에 공통으로 쓰여 흩어진 내 정보를 한 사람으로 묶는 연결고리가 된다. 그래서 CI·DI 유출은 결합 위험이 핵심이며, 명의도용 차단과 본인확인 내역 조회로 점검할 수 있다.
유출 뉴스에 등장한 낯선 약자
개인정보 유출 뉴스에 주민등록번호와 함께 CI, DI라는 약자가 부쩍 보인다. 숫자부터 보면 규모가 가볍지 않다. 2021년부터 2026년 9월까지 주민등록번호 유출만 505만여 건, 여기에 CI·DI 유출도 네 건에 걸쳐 파악된 규모만 278만여 건이다. 야놀자에서 DI 100만여 건, 모두투어네트워크에서 CI·DI 94만여 건, 롯데카드에서 CI 83만여 건이 빠져나갔고, 방송통신위원회는 롯데카드 사고를 두고 CI 관리 실태 점검에 나섰다.
이름도 번호도 아닌 이 값들이 왜 문제인지 이해하려면, CI와 DI가 무엇인지부터 봐야 한다.
CI와 DI는 무엇이고 어디에 쓰이나
Nataliya Vaitkevich
CI는 연계정보(Connecting Information)다. 통신사나 신용평가사 같은 본인확인기관이 이용자의 주민등록번호와 기관끼리 공유하는 비밀값을 섞어 만들어 내는 88바이트짜리 암호화 문자열이다. 핵심 쓰임은 '서비스가 달라도 같은 사람인지' 알아보는 것이다. A사이트와 B사이트가 같은 CI를 받으면 둘은 당신을 동일인으로 인식한다.
DI는 중복가입확인정보(Duplication Information)로 64바이트다. 한 사이트 안에서 '이미 가입한 사람인지'만 확인한다. 회원가입 때 '이미 가입된 번호입니다'라는 안내가 뜨는 배경이 DI다. CI가 서비스 사이를 잇는 값이라면, DI는 한 서비스 안에 머무는 값이다.
주민번호와는 무엇이 다른가
세 값은 만들어지는 방식도, 쓰이는 범위도 다르다.
| 구분 | 주민등록번호 | CI | DI |
|---|---|---|---|
| 성격 | 번호 자체가 식별자 | 주민번호 기반 일방향 생성값 | 주민번호 기반 일방향 생성값 |
| 범위 | 모든 영역 공통 | 서비스 사이에서 공통 | 사이트별로 다름 |
| 그것만으로 | 신원 증명 재료로 널리 쓰임 | 로그인·계좌개설 불가 | 로그인·계좌개설 불가 |
주민등록번호는 번호 안에 생년월일과 성별이 담긴 식별자 그 자체다. CI와 DI는 그 주민번호를 한 방향으로만 변환해 만든 값이라, 암호화된 CI만으로 주민번호를 거꾸로 복원하기는 어렵다. 셋의 공통점도 있다. 한번 정해지면 사실상 바꿀 수 없다는 점이다.
유출되면 무엇이 위험한가
CI나 DI가 유출됐다고 해서 곧바로 계좌가 열리거나 본인인증이 뚫리지는 않는다. CI는 '이 사람이 맞다'를 증명하는 인증 수단이 아니기 때문이다. 대출이나 비대면 계좌개설에는 추가 본인인증이 따로 필요하다.
진짜 위험은 결합에 있다. CI는 여러 서비스에 걸쳐 같은 값으로 쓰인다. 그래서 한 곳에서 샌 CI와 다른 곳에서 샌 이름·생년월일·전화번호가 '같은 사람'으로 묶이면, 흩어져 있던 조각들이 하나의 정교한 개인 프로필로 합쳐진다. 이렇게 만들어진 프로필은 맞춤형 피싱이나 명의도용, 나아가 딥보이스를 이용한 사칭의 재료가 된다.
정리하면 성격이 다르다. 주민번호 유출이 악용에 바로 쓰이는 '직접 재료'라면, CI 유출은 흩어진 정보를 꿰는 '연결고리'에 가깝다. 당장의 피해보다 오래 끌고 가는 위험이라는 뜻이다.
본인인증, 지금 점검할 것
바꿀 수 없는 값이라면, 할 일은 '내 명의가 함부로 쓰이지 못하게 막는' 쪽이다.
먼저 개인정보위원회의 '털린 내 정보 찾기'로 어떤 정보가 샜는지 확인한다. 통신 쪽은 엠세이퍼(Msafer)에서 이동전화 가입제한을 걸어 두면 모르는 사이 개통되는 것을 막는다. 금융 쪽은 여신성 금융거래 안심차단과 비대면 계좌개설 안심차단을 설정해 내 명의 대출·계좌개설을 사전에 잠근다.
CI 사용 자체를 들여다보려면 개인정보위 포털의 '본인확인 내역 조회'로 내 본인확인이 언제 어디서 일어났는지 확인하고, 어카운트인포로 모르는 계좌·카드가 있는지 점검한다. 주요 계정에는 2단계 인증과 새 기기 로그인 알림을 켜 둔다. 마지막으로, 내가 시작하지 않은 본인인증 요청에는 응하지 않는 습관이 이 모든 조치보다 앞선다.