중소기업중앙회가 운영하는 소기업·소상공인 공제제도인 노란우산 홈페이지에서 외부 비인가자의 접근과 개인정보 조회 의심 정황이 발견됐다. 이름과 연락처, 주소뿐 아니라 주민등록번호 일부까지 노출됐을 가능성이 제기되면서 가입자들의 주의가 요구되고 있다.

중소기업중앙회는 14일 노란우산 홈페이지에 공지문을 게시하고 지난 11일 외부 비인가자가 홈페이지에 비정상적으로 접근해 일부 고객의 개인정보를 제3자가 조회했을 가능성을 확인했다고 밝혔다.

유출 가능성이 있는 개인정보는 성명, 주민등록번호 앞 7자리, 휴대전화 번호, 자택 주소, 자택 전화번호, 이메일 주소, 문자메시지 및 이메일 수신 동의 여부 등이다.

주민등록번호 앞 7자리에는 생년월일과 성별 구분 정보가 포함돼 있다. 여기에 이름과 전화번호, 주소 등이 결합될 경우 개인을 특정하거나 금융기관과 공공기관을 사칭한 범죄에 악용될 가능성이 있다.

다만 중기중앙회는 주민등록번호 뒷자리는 복호화가 불가능한 방식으로 암호화해 관리하고 있다고 설명했다. 현재까지 확인된 내용은 개인정보 조회 의심 정황으로, 실제 유출 규모와 피해 인원은 확정되지 않았다.

중기중앙회는 개인정보 조회가 의심되는 고객들에게 개별 문자메시지를 발송하고, 노란우산 홈페이지에서도 본인이 조회 의심 대상에 포함됐는지 확인할 수 있도록 조치했다.

이번 사고와 관련해 한국인터넷진흥원(KISA)에 침해사고를 신고했으며, 관계 기관의 조사에도 협조할 방침이다.

보안 조치도 진행됐다. 중기중앙회는 공격에 사용된 인터넷주소(IP)를 차단하고 관련 접속 기록을 분석했다. 개인정보 조회 화면에 대한 접근 통제를 강화하는 등 홈페이지 보안 정책도 보완한 상태다.

특히 비정상적인 접근이 어떤 경로를 통해 이뤄졌는지, 외부인이 실제로 개인정보를 열람하거나 별도로 저장했는지 등이 조사 대상이다.

개인정보가 화면에 표시된 사실과 외부로 대량 반출된 사실은 구분해야 한다. 현재 중기중앙회가 밝힌 내용은 일부 고객 정보에 대한 제3자의 조회 의심 정황이며, 전체 가입자의 개인정보가 유출됐다는 의미는 아니다.

중기중앙회는 피해 접수를 위한 대응 창구도 운영하고 있다. 개인정보 유출로 인한 피해가 확인되면 관계 법령에 따라 피해 구제 절차를 신속히 진행하겠다는 입장이다.

아울러 이번 사고를 악용한 보이스피싱과 스미싱 등 2차 범죄 가능성에 대해서도 주의를 당부했다.

중기중앙회는 "중기중앙회나 노란우산 관계자를 사칭해 금전이나 대출을 요구하는 전화나 문자메시지에는 응해서는 안 된다"고 밝혔다.

이어 "아이디 및 비밀번호의 입력이나 변경을 요구하는 전화나 문자메시지에도 응하지 말길 바란다"고 강조했다.

개인정보 유출 사고 이후에는 피해 여부를 확인해 준다는 명목으로 가짜 홈페이지 접속을 유도하거나 악성 인터넷주소가 포함된 문자메시지를 발송하는 수법이 사용될 수 있다.

따라서 가입자들은 문자메시지에 포함된 링크를 무심코 누르기보다 노란우산 공식 홈페이지에 직접 접속해 관련 공지와 대상 여부를 확인하는 것이 안전하다.

노란우산은 2007년 출범한 소기업·소상공인 대상 공제제도다. 사업자가 폐업하거나 노령 등으로 경제적 어려움에 처했을 때 생활 안정과 재기를 지원하기 위해 마련됐다.

소기업과 소상공인이 매월 일정 금액을 납입하면 공제금을 적립하고, 폐업이나 노령 등 정해진 사유가 발생했을 때 지급받는 구조다. 일반 근로자의 퇴직금과 유사한 생활 안전망 역할을 한다.

노란우산 재적 가입자는 약 192만 명에 달한다. 자영업자와 소규모 사업장 운영자들이 폭넓게 가입한 제도인 만큼 개인정보 관리의 중요성도 크다.

다만 192만 명은 노란우산 전체 재적 가입자 규모로, 이번 사고에서 개인정보 조회가 의심되는 인원을 뜻하지 않는다.

실제 피해 대상자가 몇 명인지, 외부 비인가자의 접근이 어느 범위까지 이뤄졌는지는 추가 조사를 통해 확인해야 한다.

이번 사고에서 주목되는 부분은 금융·공제 관련 서비스가 보유한 개인정보의 특성이다. 공제 가입자의 신원과 연락처, 주소 등은 계약 관리에 필요한 정보이지만, 외부에 노출될 경우 개인을 겨냥한 사칭 연락에 이용될 위험이 있다.

특히 공제금 지급이나 대출 상담, 납입금 환급 등을 명목으로 접근하는 연락은 실제 제도와 혼동될 수 있어 주의가 필요하다.

중기중앙회는 현재 공격에 사용된 IP를 차단하고 홈페이지 접근 통제를 강화했으며, 개인정보 조회 의심 대상자에게 개별 안내를 진행하고 있다.

한국인터넷진흥원에 대한 침해사고 신고도 마친 상태다. 관계 기관의 조사에서는 실제 개인정보 유출 여부와 대상 범위, 비정상적인 접근이 가능했던 원인 등을 확인하게 된다.

노란우산 가입자들은 공식 홈페이지를 통해 개인정보 조회 의심 대상 여부를 확인할 수 있으며, 피해가 의심되는 경우 중기중앙회가 운영하는 대응 창구를 통해 신고할 수 있다.

최예원 선임기자