Board

개인정보 유출 사고가 발생할 때마다 반복되는 장면이 있다. 유출 항목이 공개되고, 그 안에 이름, 전화번호, 이메일, 생년월일, 비밀번호 같은 익숙한 정보가 나열된다.

최근 티빙은 2026년 6월 2일 이용자 개인정보 저장 DB에 비인가 접근이 이루어진 정황을 인지했고, 유출 추정 항목에 아이디, 이름, 생년월일, 성별, CI, DI, 휴대전화번호,

이메일, 환불 계좌번호, 비밀번호 등이 포함됐다고 밝혔다. 여기서 CI와 DI에 관한 논의가 등장한다. 사실 이전의 개인정보 유출에서도 CI 유출이 있었지만, 이번과 같은 논의가 있었던것 같지 않다. 그렇다면 정말 이번 유출이 문제인가? 무엇이 문제인가? 중요한 것은 무엇인가? 맥락이 잘못된 것이 있는가? 등을 한번 살펴보고자 한다.

​CI(Connecting Information)는 연계정보, DI(Duplication Information)는 중복가입확인정보다. CI는 주민등록번호를 직접 수집하지 않으면서도 온라인 서비스 사이에서

동일인을 식별하기 위해 도입된 값이다. 반면 DI는 특정 서비스 안에서 중복가입 여부를 확인하기 위한 값이다. 두 값 모두 같은 본인확인 절차에서 생성될 수 있지만, 두 값이 만드는 위험의 범위는 다르다. CI는 서비스 간 동일인 식별을 가능하게 하고, DI는 특정 서비스 내부의 식별에 머문다.

이 차이 때문에 CI 유출은 일반 개인정보 유출과 다른 의미를 갖는다고 설명한다. 그리고 앞서 설명한 것과 같이 CI는 주민등록번호 수집하지 않으면서 개인을 식별할 수 있는 값이기 때문에 중요한 정보로 인식되고 있다. 사실 주민등록번호 이외의 개인 식별자이면서 온라인 주민등록번호로 인식하는 경우도 있다.

이와 같은 맥락 속에 여러 언론보도는 티빙 개인정보 유출 사고에서 CI 유출사실을 계정 탈취, 명의도용, 스미싱, 2차 범죄 가능성과 연결했다. 일부 보도는 CI 유출을 일반 개인정보 유출보다 더 심각한 문제로 다뤘고, 또 다른 보도는 CI가 다른 개인정보와 결합될 경우 표적형 피싱이나 스미싱에 활용될 수 있다고 설명했다. 이러한 우려가 완전히 틀린 것은 아니다. CI는 서비스 간 동일인 식별을 위해 설계된 값이기 때문에, 유출된 개인정보를 같은 사람 기준으로 정렬하는 데 활용될 수 있다.

그러나 이 지점에서 중요한 구분이 필요하다. CI가 유출됐다는 사실과 CI를 확인하여 본인확인을 우회할 수 있다는 주장은 같은 말이 아니다. CI는 비밀번호도 인증 토큰도 아니며 본인확인 절차를 재현할 수 있는 비밀값도 아니다. 정상적인 본인확인 절차에서는 본인확인기관이 이용자를 인증하고, 그 결과를 암호화된 전문과 무결성 검증 구조를 통해 이용기관에 전달한다. 따라서 유출된 CI 문자열 하나만으로 계정에 로그인하거나 금융거래를 하거나 본인확인을 통과할 수 있다고 설명하는 것은 기술적으로 부정확하다. 결국 CI 유출에 대한 문제를 설명하는 방식에 문제가 있으며 정확한 사용 환경과 위치를 고려하지 않고 값 자체만을 바라보면서 문제가 과장된 상황이라 할 수 있다.

사실 100%는 아닐지라도 CI 없이 개인 식별은 이미 가능하다. 이름, 휴대전화번호, 이메일, 생년월일, 주소, 아이디가 함께 유출되면 공격자는 상당히 높은 확률로 동일인을 식별할 수 있다. 그리고 대한민국 디지털 서비스 환경에서 휴대전화번호와 이메일은 이미 강력한 식별자다. 여러 서비스에서 같은 이메일과 전화번호를 쓰는 이용자가 많고, 생년월일과 이름까지 결합되면 동일인 매칭의 정확도는 더 높아진다. 그렇다면 “CI가 유출됐기 때문에 비로소 개인 식별이 가능해졌다”는 설명은 설득력이 약하다.

그렇다고 CI 유출이 아무 의미 없다는 뜻은 아니다. CI는 공격자에게 없던 능력을 새로 부여한다기보다, 이미 가능한 동일인 매칭을 더 편리하고 안정적으로 만들어주는 값에 가깝다. 이름은 동명이인이 있고, 이메일은 변경될 수 있으며, 전화번호도 바뀔 수 있다. 그러나 CI는 본인확인기관이 생성하는 서비스 간 공통 식별자다. 공격자 관점에서 CI는 흩어진 정보를 한 사람 기준으로 정렬할 때 불확실성을 줄이는 보조 색인이 될 수 있다.

하지만 이 편의가 실제 피해를 얼마나 증가시키는지는 별개의 문제다. 현재 공개 자료 기준으로 티빙 사고에서 CI 유출 때문에 실제 명의도용이나 계정 탈취가 발생했다는 구체적 사례는 확인되지 않는다. 많은 보도들이 가능성과 우려를 말하지만, CI가 어떤 경로를 통해 명의도용을 가능하게 하는지 충분히 설명하지 않는다. 사실 CI가 개인정보인 것은 맞지만, 그 자체를 계정을 여는 열쇠로 보는 것은 과도한 해석이기 때문이다. 구분하자면 CI는 인증 수단이 아닌 식별 수단으로 CI를 활용한 명의 도용 등의 공격은 사실상 어렵다. 사실 생각해보면 과거 발생한 개인정보 유출 사고에서도 CI 유출은 있었으나 유출된 CI에 관한 위험성과 함께 CI에 의한 실질적인 문제가 발생했다는 근거는 찾을 수 없다.

따라서 티빙 사고의 본질은 “CI가 유출되면 계정이 위험하다”가 아니다. 반드시 해야하는 질문은 “OTT 서비스가 왜 CI를 장기 보관해야 했는가?”이다. 서비스가 단순히 회원을 식별하고 중복가입을 막기 위해 본인확인을 수행한다면, 서비스별로 다른 값을 갖는 DI나 내부 회원 식별자로 충분하다. 금융 마이데이터, 전자고지, 계열사 통합 멤버십처럼 서비스 간 동일인 연계가 본질인 경우라면 CI 보관의 필요성이 설명될 수 도 있다. 하지만 이 부분도 CI를 통해야만 구현 가능한 서비스인지 다시 생각해야 한다. 결국 문제는 CI가 본인확인 결과값이라는 이유로 여러 서비스 DB에 장기간 남아 었다는 점과 이렇게 굳이 저장되지 않아도 되는 데이터들을 저장하고 이들이 유출되면서 문제를 야기할 수 있다는 것이다.

결국 티빙 사고가 던지는 질문은 기술적 공포가 아니라 데이터 보관 원칙의 문제다. 기업은 본인확인 과정에서 생성된 모든 결과값을 보관할 권리가 있는가? 서비스 운영에 반드시 필요하지 않은 범용 식별자를 편의상 저장해도 되는가? CI가 없어도 이미 개인 식별이 가능한 환경이라면, 기업은 CI까지 보관해야 할 이유는 더 엄격하게 입증해야 한다.

지금까지의 논의를 정리하자면 CI 유출의 진짜 문제는 공격자가 갑자기 개인을 식별할 수 있게 되었다는 데 있지 않다. 공격자는 이미 이름, 전화번호, 이메일만으로도 상당한 수준의 식별을 할 수 있다. 문제는 기업들이 본인확인 과정에서 생성된 범용 식별자까지 장기 보관해왔다는 점이다. CI 논쟁의 본질은 유출된 값의 마법적 위험이 아닌, 굳이 저장하지 않아도 될 값들을 얼마나 많은 서비스가 운영 편의의 이름으로 보유해왔는가에 있다.

[관련출처: 더테크엣지]