인스티즈앱 1. CI(연계정보)란 무엇인가?
CI(Connecting Information, 연계정보)는 본인확인기관(NICE, KCB 등)이 생성하는 고유 식별정보입니다. 온라인 서비스들이 동일인을 식별할 수 있도록 만들어진 값으로, 과거 주민등록번호를 직접 활용하던 역할의 일부를 대체합니다.
CI는 사용자의 신원 정보를 기반으로 암호학적 방식으로 생성되며, 일반적으로 사용자가 직접 확인하거나 수정할 수 없습니다.
2. 모든 사이트에서 동일한 값을 가지는가?
본인확인 서비스를 통해 CI를 수집하는 사업자들 사이에서는 일반적으로 동일한 사용자에게 동일한 CI가 부여됩니다.
다만 모든 웹사이트가 CI를 수집하는 것은 아니며, 서비스에 따라 CI를 저장하지 않거나 다른 식별 체계를 사용하는 경우도 있습니다.
따라서 "인터넷의 모든 사이트에서 동일한 값이 저장된다"기보다는 "CI를 활용하는 서비스들 사이에서 동일인을 식별할 수 있다"고 이해하는 것이 정확합니다.
3. CI는 변경할 수 있는가?
일반 사용자가 임의로 변경하는 것은 사실상 불가능합니다.
CI는 사용자의 신원 정보를 기반으로 생성되므로 비밀번호처럼 직접 바꾸거나 재발급받을 수 없습니다. 다만 법적 신원정보 변경이나 제도 변경 등 특수한 상황에서는 예외가 발생할 수 있습니다.
따라서 현실적으로는 장기간 동일하게 유지되는 식별정보로 보는 것이 맞습니다.
4. CI 유출은 얼마나 위험한가?
CI가 유출되었다고 해서 다른 사이트 계정에 로그인하거나 금융 거래를 수행할 수 있는 것은 아닙니다. CI 자체는 인증 수단이 아니라 식별 수단이기 때문입니다.
그러나 위험성이 낮다는 의미는 아닙니다.
CI의 가장 큰 문제는 여러 곳에서 유출된 개인정보를 하나의 인물로 연결하는 기준점으로 활용될 수 있다는 점입니다. 해커가 다른 유출 정보까지 확보한 경우, 이름·전화번호·이용 내역·구매 기록·가입 서비스 등을 하나의 사용자 프로필로 통합할 가능성이 있습니다.
즉, CI 유출의 핵심 위험은 계정 탈취보다 개인정보 결합 및 프로파일링에 있습니다.
5. 예상 가능한 악용 방식
가장 현실적인 위험은 표적형 피싱, 스미싱, 사칭 공격입니다.
예를 들어 일반적인 스미싱 문자가 불특정 다수에게 발송되는 반면, 유출된 개인정보가 결합된 경우 특정 사용자의 이름, 가입 서비스, 거래 내역 등을 언급하며 접근하는 정교한 공격이 가능해질 수 있습니다.
물론 이러한 공격이 반드시 발생하는 것은 아니며, 추가적인 개인정보 확보가 필요합니다. 그러나 공격 성공률이 높아질 가능성은 존재합니다.
6. 이용자가 취해야 할 조치
만약 이번 사고에서 아이디, 이메일 주소, 비밀번호 해시 등이 함께 유출되었거나 동일한 비밀번호를 여러 사이트에서 사용하고 있다면 비밀번호를 변경하는 것이 바람직합니다.
반면 CI만 단독으로 유출된 경우라면 비밀번호 변경의 필요성은 상대적으로 낮을 수 있습니다.
또한 당분간 본인의 이름, 가입 이력, 거래 내역 등 실제 개인정보를 언급하며 링크 클릭이나 앱 설치를 유도하는 문자, 이메일, 메신저 메시지에 각별히 주의할 필요가 있습니다.
7. 결론
CI 유출은 심각한 개인정보 유출 사건에 해당합니다. 다만 CI만으로 계정 탈취, 금융사기, 본인인증 우회가 즉시 가능한 것은 아닙니다.
가장 우려되는 위험은 여러 유출 정보를 결합한 개인정보 프로파일링과 이를 활용한 고도화된 피싱·스미싱 공격입니다.
따라서 과도한 공포에 빠질 필요는 없지만, 개인정보를 이용한 사회공학적 공격에 대한 경계는 평소보다 강화하는 것이 바람직합니다.
손예진이 음식 사진하나 올렸을뿐인데 생긴 논쟁