우리은행, 개인정보유출 어떻게…2차 피해는?

"부정 결제 등 피해 어려워"…시점은 불투명

지난 3일 우리은행이 고객 개인정보 1만7551건이 유출됐다고 밝히면서, 은행에서 개인정보가 빠져나간 지에 대한 금융소비자들 우려와 관심이 커지고 있다.

6일 우리은행에 따르면 유출된 개인정보는 대체 불가 토큰(NFT) 월렛을 이용하는 금융소비자의 닉네임과 연계정보(CI, 주민등록번호를 해시화한 것)이다. 

티빙 개인정보유출 사태과 마찬가지로 CI가 포함됐지만, 이름과 성별·전화번호 등 개인을 식별할 수 있는 정보가 없기 때문에 2차 피해는 없을 것으로 우리은행 측은 단정하고 있다.

우리은행 전경.

유출된 닉네임 역시도 암호화된 상태이라고도 덧붙였다.

다만, 개인정보유출 사건의 경위는 밝혀내야 할 지점들이 많다. 개인정보유출 시점은 알 수가 없다. 

우리은행은 2025년 2월 NFT 지갑 서비스를 오픈했다. 그리고 해당 개인정보가 유출됐다는 것을 우리은행이 인지한 것은 지난 6월 30일이다. 우리은행 관계자는 "2025년 9월 깃허브에 CI와 같은 개인정보가 올라와있다고 익명의 누군가 한국인터넷진흥원(KISA)에 신고를 했다"며 "이후 우리은행이 인지하게 된 케이스"라고 설명했다.

심지어 프로젝트를 마친 이후 외부업체와 우리은행은 개인정보 파기 등의 절차를 모두 마무리했다고 우리은행 측은 부연했다.

우리은행은 외부업체와 프로젝트 시작 시 '보안서약서'를 쓰고 사업 수행 중에도 은행 정보보호부에서 외부 수탁업체 프로젝트 참여 직원을 대상으로 매월 1회 보안교육을 실시한다.

프로젝트 종료 후 철수하는 수탁업체 직원들 대상으로 '철수확인서' 를 받으며, 수탁업체 전산장비 포맷 여부 등을 확인하는 절차를 거친다.

개인정보가 깃허브에 올라온 시점은 프로젝트 종료 후로 추정돼, 프로젝트 추진 중 유출이 있었을 것으로 추정된다.

현재는 개인정보보호위원회에서 해당 사안을 조사 중이다.

한편, 정진완 우리은행장은 3일 고객에게 문자메시지를 통해 "개인정보 관리 현황을 전수 조사해 미습한 점을 즉시 시정하겠다"며 "이번 유출로 피해 발생 시 최대한 신속하게 확인하고 보상하겠다"고 말했다.