큰사진보기
▲  신용카드를 이용한 아이핀 발급 과정. 적발된 일당은 해킹으로 유출된 주민번호 등 개인정보와 사용자 변경이 가능한 무기명 선불카드(기프트카드) 등을 이용해 1만 3천 명 분의 아이핀을 불법 발급 받았다.
ⓒ 김시연	관련사진보기

"아이핀 도용은 보안이 아니라 실명제 이슈다."

주민번호 대체수단인 '아이핀'(i-Pin)이 뚫리면서 '인터넷 실명제'(제한적 본인확인제) 폐지론에 더 힘이 실리고 있다.

'오픈웹' 대표 김기창 고려대 교수는 7일 "아이핀 도용은 인터넷 실명제 이슈"라면서 "인터넷 회원 가입시 본인 확인을 의무화한 '제한적 본인확인제'만 없애면 아이핀뿐 아니라 주민번호 도용 문제까지 자연스럽게 해결될 것"이라고 밝혔다.

아이핀 인증 방식 허점 이용해 1만3천 명분 발급

이날 방송통신위원회와 경찰청 사이버테러대응센터 등에 따르면 해킹 등으로 유출된 주민번호 등 개인정보를 이용해 아이핀을 불법 발급 받아 중국 게임업체 등에 팔아넘긴 일당이 최근 검거됐다.

이들은 사용자 변경이 가능한 무기명 선불카드(기프트카드)와 대리인증제도, '대포폰' 인증 등 아이핀 발급 체계의 여러 허점을 이용해 1만3천 명 분의 아이핀을 불법 발급 받은 것으로 드러났다.

아이핀 발급 과정에 공인인증서, 휴대폰 인증, 신용카드 인증, 대면 인증 등 다양한 인증 방식을 쓰고 있지만 모두 주민번호에 바탕에 두고 있어 개인정보 유출 앞에 쉽게 허점을 드러낸 것이다.

일단 아이핀을 발급받으면 본인확인 절차 없이도 4000여 개 웹사이트에 자유롭게 가입할 수 있고, 추후 금융거래에도 활용될 예정이여서 오히려 주민번호 유출보다 더 심각한 문제를 초래할 수 있다. 이 때문에 2015년까지 금융을 포함해 모든 웹사이트에 아이핀 도입을 의무화하려는 방통위 계획에도 '빨간불'이 켜졌다.

"주민번호 기반한 아이핀 자체도 보안성 없어"

큰사진보기
▲  방통위와 한국인터넷진흥원 등이 진행한 아이핀 전환 캠페인.
ⓒ 방송통신위 제공	관련사진보기

김기창 교수는 "아이핀 역시 주민번호와 휴대폰 번호 데이터베이스 조합이 유통되면 발급이 쉽다"면서 "그런데도 아이핀이 고도로 안전하고 금융처럼 보안이 요구되는 분야에서도 쓸 수 있는 것처럼 떠드는 건 말이 안 된다"고 지적했다.

하지만 방통위에선 이번 유출 사건이 아이핀 자체 문제가 아니라 무기명 선불카드 발급 과정에서 본인 확인 없이 명의자를 변경한 카드사 잘못이라는 입장이다. 또 대리인 인증 방식은 명의 도용 문제 때문에 이미 지난해 7월부터 제외했고, '대포폰 인증'은 자신의 정보와 핸드폰을 타인에게 제공한 당사자 책임이라는 것이다.

방통위는 앞으로 선불카드를 이용한 아이핀 발급을 중지하고 '아이핀 도용 확인 절차'를 마련하는 등 계속 보완해 가며 아이핀 의무화 계획은 예정대로 진행하겠다고 밝혔다.

'아이핀'이란 인터넷 상에서 주민번호를 대신해 아이디와 패스워드를 이용하여 본인 확인하는 수단이다. 우리나라 대부분 웹사이트에서는 회원 가입이나 주요 서비스 이용시 주민번호를 입력하여 본인확인을 받도록 되어 있는 상황에서 주민번호 유출이나 도용을 방지하려고 지난 2006년 도입했다. 올해 4월 현재 네이버, 다음 등 4496개 웹사이트에서 아이핀을 본인확인 방법으로 사용하고 있고 가입자도 206만 명에 이른다.

"본인확인 목적은 보안이 아니라 누리꾼 입막음용"

큰사진보기
▲  금융거래 공인인증서 의무화 폐지를 촉구해온 오픈웹 대표인 김기창 고려대 법대 교수
ⓒ 김시연	관련사진보기

하지만 그동안 진보네트워크, 오픈웹 등 시민단체에선 주요 웹사이트 게시판 이용시 본인 확인을 의무화한 '인터넷 실명제' 자체가 주민번호 도용 문제를 더 키우고 있다고 주장해 왔다. 

아이핀 방식 역시 외국에선 여러 개 웹사이트를 일일이 가입해야 하는 불편을 해소하는 '오픈 ID' 개념으로 이용자 편의 차원에서 도입한 것인데, 국내에선 주민번호를 대체할 고도로 안전한 본인확인 수단처럼 변질됐다는 것이다.

김기창 교수는 "보안성이 없는 주민번호를 본인확인수단으로 쓰는 건 보안 목적보다는 (누리꾼들에게) 함부로 떠들지 말라는 거"라면서 "아이핀 제도 역시 각 서비스 사업자가 필요에 따라 자율적으로 도입하게 해야지 공인인증서처럼 의무화하게 되면 오히려 관련 기술의 발전을 가로막게 될 것"이라고 우려했다.