얼굴은 못 바꾼다, 생체정보 유출 뒤 대응 순서
한국전력 직원 개인정보가 해외 클라우드에 노출된 사고에서 안면인증 정보와 CCTV 접속 정보까지 유출됐다는 주장이 나왔지만, 한전은 민감정보 노출은 없다는 입장이고 범위는 아직 조사 중이다. 비밀번호와 달리 얼굴·지문 같은 생체정보는 한 번 유출되면 되돌릴 수 없어, 통지를 받았다면 최악을 가정해 대응하는 편이 안전하다. 먼저 통지문에서 유출된 정보의 종류를 확인하고, 생체 하나로 되던 로그인과 결제를 2차 인증으로 보강하는 것이 우선순위다.
한전 안면인증 유출, 어디까지 사실인가
한국전력은 지난 10월 4일 직원 개인정보가 해외 클라우드 웹페이지에 노출됐다고 밝혔다. 한전이 공식 인정한 범위는 직원 약 2만 4,000명의 이름, 소속, 사번, 연락처, 이메일 등이다. 한전은 주민등록번호 같은 고유식별정보나 민감정보는 노출되지 않았다는 입장이다.
'얼굴인증'이 등장한 것은 국정감사에서다. 윤재옥 의원실은 한전이 제출한 자료를 분석해, 여기에 직원 안면인증 정보 408명분과 CCTV 접속 정보(IP·아이디·비밀번호) 약 1만 5,000건이 함께 노출됐고 한전이 이를 발표에서 빼 사고를 축소했다고 주장했다. 다만 이 수치는 의원실 분석 결과이고, 한전이 인정한 내용은 아니다.
유출 원인이 협력업체 쪽인지 외부 해킹인지는 국정원·개인정보보호위원회·전남경찰청이 조사 중이다. 한전은 접속·다운로드 기록을 따로 남기지 않아 누가 얼마나 내려받았는지 확인되지 않는다고 답했다. 김동철 사장은 19일 국감에서 "직원 개인정보 유출로 국민께 심려를 끼쳐 사과한다"며 정보보안 전반을 근본적으로 혁신하겠다고 밝혔다.
얼굴은 비밀번호처럼 바꿀 수 없다
Nataliya Vaitkevich
이 사고가 주목받는 이유는 생체정보의 성격에 있다. 비밀번호는 유출되면 바꾸면 된다. 하지만 얼굴과 지문은 평생 바꿀 수 없다. 한 번 빠져나가면 위험이 사라지지 않고 남는다는 뜻이다.
안면인증 데이터가 통째로 유출되면 얼굴로 여는 잠금을 우회하거나 영상·사진 합성에 악용될 수 있다는 우려가 나온다. CCTV 접속 정보가 함께 샜다면 영상 자체에 접근당할 위험도 생긴다. 개인정보보호법도 생체정보를 민감정보로 따로 분류해 엄격히 다룬다.
다만 유출된 것이 원본 얼굴 사진인지, 복원이 어려운 특징점 데이터인지에 따라 재사용 난이도는 크게 달라진다. 이 부분은 아직 공개되지 않았다. 그래서 막연한 공포보다 '무엇이 어떻게 샜는지'를 먼저 가리는 게 중요하다.
통지를 받았다면, 이 순서로
생체정보가 포함된 유출 통지를 받았다면 대응에는 순서가 있다. 바꿀 수 없는 정보인 만큼, 범위가 불확실할수록 최악을 가정해 움직이는 편이 안전하다.
- 통지문부터 꼼꼼히 읽는다. 얼굴 영상인지 인증값인지, 이름·연락처 같은 신원정보가 함께 샜는지 확인해야 다음 대응이 정해진다.
- 생체 하나로 열리던 로그인과 결제를 비밀번호에 일회용 코드(OTP)를 더한 2차 인증으로 바꾼다. 생체 단독 인증은 잠시 꺼 두는 것도 방법이다.
- 이름·연락처가 함께 샜다면 이를 악용한 사칭 전화나 피싱을 경계한다. 가족과 '확인 전화' 규칙을 정해두면 도움이 된다.
- 금융 쪽은 금융감독원의 개인정보 노출자 사고예방시스템에 등록하면 명의도용을 막는 데 쓸 수 있다. 통신사의 번호도용·유심보호 서비스도 함께 걸어둔다.
피해가 의심되면 사업자에 삭제와 경위를 요구하고, 개인정보보호위원회 신고(국번 없이 118)나 경찰 신고로 기록을 남겨두는 것이 좋다.
겁먹기 전에, 범위부터
이번 한전 건은 유출 규모와 원인이 모두 조사 단계다. 안면인증 408명분이라는 수치도 아직 확정된 사실이 아니라 분석 결과다. 그만큼 과장된 소문에 휩쓸리기 쉬운 상황이다.
확정되지 않은 정보로 불안해하기보다, 바꿀 수 없는 생체정보가 걸린 만큼 2차 인증부터 올려두는 보수적 대응이 현실적이다. 공식 발표가 갱신되면 그에 맞춰 조치를 더하면 된다.