중기중앙회, 외부 비정상 접근 확인…주민번호 일부·주소·연락처 등 조회 가능성
의심 대상자 개별 문자 통보·KISA 신고…실제 유출 여부와 피해 규모 조사

소기업·소상공인의 퇴직금 역할을 하는 '노란우산'에서 개인정보 유출 가능성이 발견됐다. 외부인이 홈페이지에 비정상적으로 접근해 일부 가입자의 이름과 주민등록번호 일부, 주소, 연락처 등을 조회했을 가능성이 제기됐다.

14일 중소기업중앙회에 따르면 지난 11일 노란우산 홈페이지에 외부 비인가자가 비정상적으로 접근한 정황이 확인됐다. 이 과정에서 일부 고객의 개인정보가 제3자에게 조회됐을 가능성이 발견됐다.

중기중앙회는 이날 홈페이지에 '개인정보 유출 가능성 및 침해사고' 공지를 올리고 사고 발생 경위와 대응 현황을 안내했다.

조회 가능성이 있는 정보는 성명과 주민등록번호 앞 7자리, 휴대전화번호, 자택 주소, 자택 전화번호, 이메일 주소, 문자메시지·이메일 수신 동의 여부 등이다.

주민등록번호 앞 7자리는 생년월일과 성별 등을 파악할 수 있는 정보다. 이름과 주소, 연락처 등이 결합하면 개인을 특정하거나 사칭 범죄에 악용될 우려가 있다. 다만 주민등록번호 뒷자리 나머지 6개 숫자는 복호화할 수 없도록 암호화해 관리하고 있다고 중기중앙회 측은 설명했다.

실제 개인정보가 조회되거나 유출됐는지는 아직 확인되지 않았다. 공지에 나열된 정보가 모든 의심 대상자에게 동일하게 해당하는 것도 아니다. 고객별로 일부 항목만 조회 대상이 됐을 가능성도 있다.

중기중앙회는 현재까지 확인된 조회 의심 대상자에게 개별 문자메시지를 발송했다. 문자를 받은 고객은 노란우산 홈페이지 공지 화면에서 추가 확인할 수 있다. 중기중앙회는 조사 결과 실제 조회·유출 여부가 확정되면 해당 정보의 항목이나 유출되지 않았다는 사실을 개별 통지와 홈페이지 공지를 통해 다시 안내할 방침이다.

중기중앙회는 사고 확인 이후 공격에 이용된 인터넷주소(IP)를 차단했다. 공격 기록을 분석해 보안 정책을 보완하고 개인정보 조회 화면에 대한 접근 통제도 강화했다. 한국인터넷진흥원(KISA)에 침해사고를 신고했으며 관계기관 조사에도 협조하고 있다. 실제 피해가 확인되면 관련 법령에 따라 피해 구제 절차를 진행할 계획이다.

추가 피해를 막기 위한 주의도 당부했다. 특히 중기중앙회나 노란우산 관계자를 사칭해 금전이나 대출을 요구하는 전화·문자메시지에 응하지 말 것을 요청했다.

중기중앙회는 납부 계좌 변경이나 계좌 비밀번호 입력을 요구하지 않는다고 강조했다. 노란우산 홈페이지는 계좌 비밀번호 자체를 수집하지 않는다. 홈페이지 아이디나 비밀번호의 입력·변경을 요구하는 연락에도 응해서는 안 된다.

노란우산은 중기중앙회가 2007년부터 운영하는 소기업·소상공인 대상 공제제도다. 일반 근로자와 달리 퇴직금이 없는 자영업자들이 폐업이나 노령 등으로 소득이 끊기는 상황에 대비할 수 있도록 마련됐다.

가입자가 매월 일정 금액을 납부하면 폐업·사망·노령 등 정해진 사유가 발생했을 때 공제금을 받을 수 있다. 납입금에는 연 복리 이자가 적용된다.

공제금은 법에 따라 원칙적으로 압류와 양도 등이 금지된다. 사업 실패 이후에도 생활안정과 재기를 위한 자금으로 활용할 수 있도록 보호하는 취지다. 가입자는 소득 수준 등에 따라 연 최대 600만원의 소득공제 혜택도 받을 수 있다.

노란우산은 지난 7월 월 납입 한도를 150만원으로 높이고 연간 납입 한도를 1800만원으로 확대했다. 이달 기준 재적 가입자는 약 192만명이다.

여헌우 기자 yes@ekn.kr