‘정부 요청입니다’를 믿어도 될까: 레볼루트 유출 주장이 던진 질문

핵심 요약

• 레볼루트 관련 주장이 사실인지 판단하려면 실제로 정보를 제공했는지, 요청을 어떻게 처리했는지 확인해야 합니다.
• 고객의 본인 확인과 고객 정보를 요구하는 기관의 신원 확인은 별개의 절차입니다.
• 가짜 공문에 속아 정보를 넘기는 일도 개인정보 보호를 위협할 수 있습니다.
• 요청자가 누구인지 확인한 뒤에도 정보를 요구할 권한과 필요한 정보 범위를 각각 검토해야 합니다.

금융 서비스에 맡긴 개인정보는 보관할 때뿐 아니라 외부로 보낼 때도 안전하게 다뤄야 합니다. 레볼루트 고객 정보가 가짜 정부 요청으로 유출됐다는 주장이 사실이라면, 정보를 외부로 전달하는 절차에도 허점이 있었다는 뜻입니다. ‘정부 요청’이라는 말을 어떤 근거로 믿었는지 살펴봐야 하는 이유입니다.

요청이 있었다는 것과 유출됐다는 것은 다릅니다

가짜 요청서가 도착했다고 해서 고객 정보가 유출됐다고 단정할 수는 없습니다. 회사가 요청을 거절했을 수도 있고, 추가로 확인하는 과정에서 처리를 멈췄을 수도 있습니다.

레볼루트 관련 주장도 마찬가지입니다. 어떤 요청이 들어왔고 회사가 어떻게 대응했는지부터 살펴야 합니다. 그 과정에서 실제로 고객 정보를 넘겼는지는 따로 확인해야 합니다. 피해 규모와 정보의 종류는 그다음에 따질 문제입니다.

신원 확인이라는 표현도 주의해서 읽어야 합니다. 고객의 신원 확인 자료가 유출됐다는 뜻일 수도 있고, 정보를 요청한 상대의 신원을 제대로 확인하지 못했다는 뜻일 수도 있습니다. 둘을 혼동하면 실제로 어떤 피해가 있었는지, 사고는 왜 일어났는지 모두 잘못 이해할 수 있습니다.

고객에게 신분증을 받는 것만으로는 부족합니다

금융 서비스에서 고객의 본인을 확인할 때는 ‘이 계정의 주인이 누구인가’를 따집니다. 외부 기관이 정보를 요청했을 때 확인할 것은 ‘이 사람이 정말 해당 기관을 대표하는가’입니다.

누구의 신원을 확인하는지부터 다릅니다. 고객 인증을 꼼꼼히 하는 회사라도 기관을 사칭한 요청을 걸러내는 절차는 부실할 수 있습니다.

가령 이런 상황을 생각해볼 수 있습니다. 담당자에게 기관 로고와 사건번호가 들어간 요청서가 도착합니다. 문서에는 긴급한 사안이니 특정 고객의 정보를 곧바로 보내달라고 적혀 있습니다.

담당자가 문서의 형식만 믿고 정보를 넘기면, 공격자는 정상적인 업무 절차를 악용해 원하는 정보를 얻게 됩니다. 이처럼 사람의 판단을 조종해 보안 절차를 통과하려는 수법이 사회공학 공격입니다.

기관 로고와 사건번호는 진위를 확인할 단서일 뿐, 그것만으로 발신자의 신원을 증명할 수는 없습니다. ‘긴급’이라는 표현도 마찬가지입니다. 서둘러야 할 이유는 될 수 있어도 상대를 믿을 근거가 되지는 않습니다.

‘공식 요청’을 받았을 때 확인할 세 가지

이런 위험을 줄이려면 요청을 받았을 때 무엇을 확인할지 구체적으로 정해둬야 합니다.

1. 누가 요청했는가?
   요청서에 적힌 연락처로만 확인하면 사칭한 사람에게 진위를 되묻는 셈이 될 수 있습니다. 별도로 확보한 공식 연락 경로로 발신자가 해당 기관 소속인지, 요청이 진짜인지 확인해야 합니다.

2. 어떤 권한으로 요청했는가?
   실제 기관 소속이라고 해서 해당 고객의 정보를 받을 권한까지 있는 것은 아닙니다. 담당자의 신원을 확인한 뒤에도 어떤 근거로 정보를 요청했는지, 그 근거가 어디까지 적용되는지 검토해야 합니다.

3. 어디까지 제공해야 하는가?
   유효한 요청을 받았더라도 계정에 저장된 정보를 전부 넘겨야 하는 것은 아닙니다. 요청 목적에 필요한 항목을 가려내고, 어떤 정보를 제공했는지와 무엇을 근거로 승인했는지 기록해야 합니다.

긴급 요청을 어떻게 처리할지도 미리 정해둬야 합니다. 추가 확인을 맡을 사람과 정보 제공을 승인할 사람이 정해져 있어야 합니다. 그래야 시간이 촉박하다는 이유로 담당자 한 사람이 모든 판단을 떠안는 일을 줄일 수 있습니다.

레볼루트 관련 주장을 판단하려면 실제로 고객 정보를 넘겼는지, 요청을 어떻게 처리했는지 확인해야 합니다. 고객 인증 절차를 살필 때는 외부의 정보 요청을 검증하는 절차도 함께 봐야 합니다. 우리에게 신분증을 요구하는 서비스가 그 신분증을 달라는 상대에게는 어떤 증명을 요구하는지도 따져볼 일입니다.