1억4700만명의 신용정보가 76일간 열렸다

03 · 같은 일이 여기서 일어난다면

국내에서는 신용정보 보호의무와 유출통지가 함께 적용되며, 해외 신용생활을 한 사람에게는 직접 노출 가능성도 있다.

1. 01

   한국 개인정보보호법 제34조와 시행령은 유출 사실을 알게 된 개인정보처리자에게 정보주체 통지와 일정한 경우 감독기관 신고를 요구하고, 시행령상 원칙적 통지기한은 72시간이다. 에퀴팩스는 7월 29일 침입을 발견하고 9월 7일 공개했으므로 발견 뒤 대외공개까지 약 40일이 걸렸고, 현재 한국 제도와 시점을 그대로 비교할 수는 없다.

2. 02

   국내 2014년 카드 3사 개인정보 유출은 신용정보가 대량으로 모인 기관에서 외부 용역직원을 통해 자료가 반출된 사건이다. 빗썸 2017년 유출은 직원 개인용 컴퓨터 침해에서 고객정보 노출과 2차 피해가 이어졌다. 에퀴팩스는 공개 웹 취약점과 내부 데이터베이스 연결이 핵심이라 침입경로는 다르지만 집중된 식별정보가 금융피해 재료가 된다는 공통점이 있다.

3. 03

   미국에서 취업·유학·거주하며 사회보장번호를 받고 카드나 대출 신용이력을 만든 한국인은 에퀴팩스와 직접 계약하지 않아도 데이터에 포함될 가능성이 있었다. 다만 공개 공식자료에는 한국인 피해자 수가 따로 집계돼 있지 않아 국내 직접 피해 규모는 미확인이다. 미국 합의의 현금청구 기한은 2024년 1월 22일 끝났고 신원회복 서비스는 2029년 1월까지 안내돼 있다.

4. 04

   국내 이용자가 해외 신용정보 유출 통지를 받으면 유출된 식별정보 종류와 현지 청구기한, 신용보고서의 신규계정, 카드 승인내역을 분리해 확인할 필요가 있다. 미국식 credit freeze와 한국의 명의도용 방지·신용조회 알림은 운영기관과 효력이 같지 않으므로 한 국가의 조치를 다른 국가 계정에 자동 적용된 것으로 보면 안 된다.

1억4,700만명이라는 규모는 패치 하나가 늦어서만 생기지 않았다. 취약 자산을 찾지 못한 목록, 적용을 확인하지 않은 절차, 넓게 연결된 데이터베이스, 19개월 멈춘 탐지가 76일의 체류를 허용했다. 국내 이용자는 해외에서 신용기록이 생기면 직접 가입하지 않은 신용정보회사에도 데이터가 모일 수 있음을 전제로 통지와 청구기한을 확인해야 한다.

관할 주의 해외 감독당국의 제재·판결·예금보호·배상 절차는 한국에 자동 적용되지 않습니다. 국내 적용 여부는 계약 상대방, 계좌 소재지, 국내 인가와 한국 법령에 따라 별도로 판단해야 합니다.