"개인정보 유출 맞아?"…카카오·개보위 치열한 공방예고

카카오톡 로고

지난해 3월 카카오톡 오픈채팅방 참여자 개인정보가 유출됐다는 의혹을 조사한 개인정보보호위원회가 카카오에 151억4196만원의 과징금을 부과했다. 기존 최대 과징금이었던 골프존의 75억여원보다 두 배 이상 많은 금액인데 카카오와 개인정보위의 판단이 달라 치열한 법적 공방이 예상된다.

23일 개인정보위에 따르면 카카오톡 오픈채팅 시스템의 보안 취약점으로 인해 최소 6만5000여명의 개인정보가 유출됐을 것으로 추정된다. 개인정보위는 또 지난해 3월 오픈채팅 개인정보 유출 의혹이 제기된 후 카카오가 신고를 하지 않은 점을 문제 삼았다. 개인정보위의 결정이 나오기까지 진통도 컸다. 개인정보위와 카카오가 '개인정보 유출' 여부에 대해 완전히 다른 판단을 내리면서 양측의 공방이 치열했다.


카카오톡 오픈채팅방은 참가자들이 익명을 전제로 주식 투자나 정치적 견해 표명 등 관심사를 나누거나 같은 연령대 이용자끼리 친분을 나누는 공간으로 활용돼왔다. 참가자들에게는 회원일련번호가 매겨져 있다. A라는 사람과 B라는 사람이 동일인이 아니라는 걸 구분하기 위한 번호다. 이 번호만으로는 이름이나 전화번호를 알아낼 수 없다. 카카오는 회원일련번호와 오픈채팅방 정보를 단순히 연결한 임시ID를 만들어 암호화 없이 그대로 사용했다. 문제는 이 같은 시스템을 악용한 사람(해커)이 있었다는 것이다. 회원일련번호는 오픈채팅방이든, 이용자가 실명으로 대화를 나누는 일반채팅방이든 똑같기 때문이다.

카카오에 따르면 지난해 3월 해커는 이렇게 얻은 회원일련번호에서는 얻을 수 없는 이름, 전화번호 등을 알아내기 위해 별도의 프로그램을 동원했다. 이를테면 010-0000-0000에서 010-9999-9999에 이르는 1억개의 전화번호를 임시 생성한 후 전화번호로 카카오톡 친구를 추가하는 방식을 동원했다. 번호생성기를 이용해 무작위로 전화번호를 만들어 불특정 다수를 대상으로 스팸메시지를 뿌리는 것은 스미싱, 피싱 등 사기를 저지르는 범죄자들이 주로 활용하는 방식이라는 게 카카오측 설명이다. 해커는 무작위로 생성한 전화번호를 친구 추가에 입력해 회원일련번호와 전화번호, 실명이 매칭된 개인정보를 '생성'했다. 그리고 이걸 판매했다는 게 지난해 3월의 이슈였다.

카카오와 개인정보위의 판단은 그 전제부터 달라 법적 공방으로 이어질 전망이다. 개인정보위는 악의적으로 회원일련번호와 개인 식별정보(실명·전화번호)를 결합해 유의미한 개인정보를 '생성'했다고 해도 회원일련번호와 결합된 임시ID를 암호화하는 등 방식으로 해커 침입을 막았어야 했다고 판단했다. 반면 카카오는 "임시ID는 숫자로 구성된 문자열이자 난수로 어떤 개인정보도 포함돼 있지 않고 그 자체로 개인 식별이 불가능해 개인정보라고 판단할 수 없다"고 반박했다. 회원일련번호와 임시ID는 이용자 구분을 위해 내부적으로만 쓰는 문자·숫자열에 불과하다는 것이다.


카카오는 또 해커의 독자적 불법행위까지 카카오의 과실로 본 점이 잘못됐다고 비판했다. 해커가 불법으로 정보를 결합, 개인정보를 생성한 것은 해커의 불법행위일 뿐 카카오의 과실이 아니라는 얘기다.

아울러 개인정보 유출 신고를 개인정보위에 하지 않았다는 주장에 대해 카카오는 "상황을 인지한 즉시 경찰에 선제적으로 고발하고 KISA(한국인터넷진흥원)와 과학기술정보통신부에도 신고했으며 경찰 조사에 적극 협조하고 관계 기관에도 소명했다"며 "지난해 3월13일 전체 이용자를 대상으로 주의를 환기하는 공지를 게재했다"고 했다.