주민번호·CI 분리보관 1월로 앞당겨, 뭐가 달라지나
방송미디어통신위원회가 주민등록번호와 연계정보(CI)를 분리 보관하는 의무의 시행 시점을 2027년 5월에서 1월로 4개월 앞당겼다. 두 정보가 한꺼번에 유출되는 사고를 앞당겨 차단하려는 조치지만, 개별 유출이나 이미 새어 나간 정보까지 막아 주지는 못한다. 시행 전 공백기에는 금융감독원 개인정보노출자 사고예방시스템과 엠세이퍼로 명의도용을 미리 차단해 두는 것이 현실적이다.
시행일이 5월에서 1월로 앞당겨졌다
방송미디어통신위원회는 9월 18일 주민등록번호와 연계정보(CI)를 분리해 보관하도록 하는 의무의 시행 시점을 2027년 5월 1일에서 2027년 1월 1일로 4개월 앞당겼다. 이날 제36차 전체회의에서 「연계정보 생성·처리 등에 관한 기준」 고시 개정안을 의결하면서다. 당초 사업자들은 시스템 재구축에 시간이 필요하다며 유예를 요청했지만, 두 정보가 함께 새어 나가는 사고가 잇따르자 시행을 서둘렀다.
주민번호와 CI, 왜 같이 새면 위험한가
Photo by FlyD on Unsplash
CI는 온라인에서 특정 개인을 식별하려고 주민등록번호를 암호화해 만든 전자정보다. 한 번 본인확인을 거치면 이 값이 서로 다른 사이트에서 "같은 사람"임을 이어 주는 열쇠 역할을 한다. 아이디와 비밀번호는 사이트마다 달라도 CI는 동일하기 때문에, 이 값이 있으면 여러 서비스에 흩어진 계정을 하나로 엮을 수 있다.
CI는 은행 앱의 간편인증, 공공기관 로그인, 여러 사이트의 회원가입 본인확인 과정에서 폭넓게 쓰인다. 그만큼 한 사람의 온라인 활동을 가로지르는 식별자에 가깝다.
문제는 조합이다. 주민번호는 그 자체로도 바꾸기 어렵고 위험한 정보지만, 여기에 CI가 더해지면 공격자는 "이 주민번호의 주인이 어떤 서비스를 쓰는지"까지 좁힐 수 있다. 이름·주민번호·CI가 한 세트로 묶이면 특정 개인을 겨냥한 사칭이나 피싱의 정확도가 높아진다. 분리 보관은 바로 이 세트가 한곳에서 통째로 빠져나가는 상황을 막으려는 조치다.
조기 시행으로 달라지는 것, 그대로인 것
2027년 1월부터 기업은 주민번호와 CI를 같은 저장소에 두지 않고 나눠서 관리해야 한다. 한쪽 데이터베이스가 뚫려도 두 값을 동시에 가져가기는 어려워지는 구조다.
다만 만능은 아니다. 분리 보관은 '동시 유출'의 위험을 낮출 뿐, 주민번호나 CI가 각각 새는 것까지 없애지는 못한다. 이미 과거에 유출된 정보에 소급 적용되지도 않는다. 시행일이 앞당겨졌다는 말은, 뒤집어 보면 시행 전인 지금의 위험은 그대로 남아 있다는 뜻이다. 기업 시스템이 바뀌기 전까지의 공백은 결국 개인이 메워야 한다.
시행 전까지 개인이 해둘 수 있는 것
가장 먼저 볼 곳은 금융감독원의 '개인정보노출자 사고예방시스템'이다. 금융소비자 포털 파인(fine.fss.or.kr)이나 콜센터 1332로 등록해 두면, 내 명의로 대출·카드 발급이 시도될 때 금융회사가 한 번 더 걸러 준다. 유출이 의심되는 단계에서 명의도용 피해를 앞단에서 막는 장치다.
통신·온라인 명의도용이 걱정된다면 명의도용방지서비스 엠세이퍼(msafer.or.kr)에서 내 이름으로 개통된 회선이 있는지 확인하고, 신규 가입에 제한을 걸어 둘 수 있다.
행동 기준은 이렇게 잡으면 된다. 최근 가입한 사이트에서 유출 통지를 받았거나 출처가 불분명한 인증 문자·대출 안내가 늘었다면, 막연히 기다리지 말고 위 두 시스템에 먼저 등록해 두는 편이 현실적이다. 특별한 징후가 없다면 시행일에 맞춰 자주 쓰는 서비스의 본인확인 이력을 한 번 점검하는 정도로 충분하다.