'개인정보가 털리고 나서 난생처음으로 보이스피싱 전화를 받아보게 되네요.'
쿠팡 개인정보 유출 사고에 공동 대응하기 위해 만들어진 한 네이버 카페에 올라온 글이다. 해당 카페 가입자는 13만명이 넘는다. 이 곳뿐 아니라 각종 개인정보 유출 관련 공동소송 커뮤니티에서는 보이스피싱 등 2차 피해를 호소하는 사례가 잇따르고 있다.
최근 금융·통신·이커머스 기업은 물론 대학과 병원, 정부기관까지 개인정보 유출 사고가 이어지면서 2차 범죄에 대한 우려도 커지고 있다. 하지만 범죄에 사용된 정보의 유출 경로를 추적하긴 어려워 실제 2차 피해를 보더라도 보상을 받기는 어려운 실정이다.
4일 경찰에 따르면 경찰청 사이버테러수사대는 전날 공군 1호기 탑승자 개인정보 유출 사건을 개인정보보호법 위반 혐의로 입건하고 정식 수사에 착수했다.
이번 사건은 지난 2일 대통령 전용기인 공군 1호기 탑승자 168명의 이름과 생년월일, 여권번호 등이 담긴 엑셀 파일이 해외 보안 사이트에 게시된 사실이 언론 보도되면서 알려졌다. 명단에는 이재명 대통령을 비롯한 고위 당국자와 대통령비서실 소속 실무자, 출입 기자 등이 포함됐다.
경찰은 개인정보 유출 경위에 따라 개인정보보호법이나 정보통신망법 위반 혐의 등을 적용해 수사한다. 이번 공군 1호기 사건은 외부 해킹보다 내부 정보 유출 가능성이 높은 것으로 알려져 개인정보보호법 위반 혐의가 적용됐다. 반면 지난달 수사에 착수한 금융기관 해킹 사건과 지난해부터 수사 중인 쿠팡 개인정보 유출 사건에는 정보통신망법 위반 혐의가 적용됐다. 쿠팡 사건은 중국 국적 전 직원의 해킹에 의한 것으로 파악됐다.
문제는 유출된 개인정보가 보이스피싱 등 2차 범죄에 활용됐는지 확인하기 어렵다는 점이다. 경찰은 개인정보 유출을 사이버범죄로, 보이스피싱을 금융범죄로 분류해 수사한다. 보이스피싱 사건에는 범행 유형에 따라 통신사기피해환급법 위반 혐의도 적용된다. 피싱범죄 피해자의 재산상 피해를 신속히 회복하기 위해서다.
수사 과정에서 범죄에 사용된 개인정보의 유통 경로를 추적하는 데도 한계가 있다. 한 지방경찰청 소속 피싱범죄 전담 수사관은 "피싱범죄 수사는 조직 윗선을 잡는 데 주력한다"며 "개인정보 데이터베이스(DB)를 누구에게 어떻게 샀는지 그 경로까지 특정하는 것은 사실상 불가능하다"고 했다.
이어 "개인정보를 범행에 활용한 피의자들조차도 텔레그램을 통해 구매해 어떤 경로로 유출된 정보인지 모르는 경우가 대부분"이라고 했다.
이 때문에 개인정보 유출 이후 보이스피싱 피해를 입더라도 유출 사고와의 인과관계를 입증하기 어렵다. 유출 기업들은 개인정보 유출과 2차 피해 사이의 연관성이 확인돼야 보상이 가능하다는 입장이다. 피해자가 직접 연관성을 입증하기 어려운 만큼 실효성 있는 피해 구제 방안을 마련해야 한다는 지적이 나온다.
김득의 금융정의연대 대표는 "정부 당국 차원에서 개인정보 유출에 대한 피해 보상 체계를 재정비해야 한다"며 "개인정보 유출 대상자가 일정 기간 내 피싱 피해를 입을 경우 개인정보 유출의 2차 피해로 인정하는 방법도 검토할 필요가 있다"고 주장했다.