한국 카카오 페이, 4045만명 분의 개인정보를 중국 개미 페이에 제공하고 있던
▲그래픽=김·효그크한국의 결제 서비스 「카카오 페이」가 고객의 동의를 얻지 않고 유저 4045만명의 개인정보를 중국 전자 상거래(EC) 대기업, 아리파파집단(알리바바) 산하의 금융 결제 업자, 지부보(개미 페이)에 제공해, 13일까지 한국 금융 감독원의 적발을 받았다.2018년 4월부터 약 6년에 걸쳐, 한 번이라도 카카오 페이를 이용한 유저 전원의 카카오 페이 ID, 휴대 전화 번호, 전자메일 주소, 카카오 페이로의 가입·거래 이력이 개미 페이 측에 건넜다.
금융 감독원은 카카오 페이의 해외 결제 부문에 대한 출입 검사 결과를 발표해, 카카오 페이가 회원의 개인정보를 매일 1회, 암호화해 개미 페이 측에 제공하고 있던 것을 밝혔다.누계로 542억건에 이른다.동원관계자는 「카카오 페이의 월간 유저수는 약 2500만명이지만, 휴면·탈퇴 유저까지 가세하면 4000만명 이상의 정보가 적어도 1회는 제공된 것이 된다」라고 설명했다.
개미 페이는 애플, 굿 한패, 개미 익스프레스, TEMU등의 EC결제를 시작해 46개국에서 온라인, 오프 라인의 가맹점 8100만 개소의 금융 결제를 지원하는 업자다.개미 페이는 카카오 페이의 주식 32%를 보유하는 2 대주주이기도 하다.카카오 페이는 독자적인 해외 결제 네트워크가 없기 때문에, 개미 페이와 제휴해, 해외 결제 서비스를 제공하고 있다.카카오 페이는 해외 결제를 이용하고 있지 않는 고객의 개인정보도 암호화해 개미 페이에 제공하고 있었다.
금융 감독원은 카카오 페이의 정보 암호화 레벨도 문제시했다.동원이 테스트한 결과, 인터넷으로 간단하게 입수할 수 있는 암호 해독 프로그램으로, 이름을 제외한 휴대 전화 번호, 카카오 페이 ID등의 정보를 복원할 수 있었다고 한다.
카카오 페이는 「위법한 정보 제공은 없었다.향후의 조사 과정에서 사실 관계를 분명히 한다」라고 했다.금융 감독원은 세세한 법적 검토를 실시한 다음, 제재 수속을 신속하게 진행하는 한편, 유사 케이스에 대한 추가 점검을 실시하면 표명했다.
카카오 페이가 개미 페이에 암호화된 개인정보를 적정하게 제공하고 있던 것이면, 그 자체는 위법은 아니다.카카오 페이는 한국의 소비자가 대부분 이용하는 애플이 App Store(업 스토어)를 이용하는 고객의 신용도를 평가하는 시스템을 정비하도록 요구한 것을 받아 개미 페이에 시스템 구축을 의뢰해, 그 과정에서 유저의 개인정보를 제공했다.
문제는 카카오 페이가①유저의 동의가 없는 상태로②개미 페이측과 구체적인 계약도 없이③해외 결제를 이용하고 있지 않는 개인정보까지 불필요하게 많은 정보를 제공한 것이다.이것에 대해서, 카카오 페이 관계자는 「해외 결제 잠재 고객의 정보를 제공한 것이어, 애플이 요구했기 때문이다」라고 해명했다.
■계약도 없이 개인정보 제공
카카오 페이측은 개미 페이와 계약을 맺고 있어 암호화 수준도 높고, 개인정보를 식별하는 것은 어렵다고 주장했다.카카오 페이가 해외 결제 서비스를 제공하기 위해(때문에), 개미 페이와 개인정보에 관한 위탁·수탁 계약을 맺고 있어 제공되는 정보는 철저하게 암호화되고 있기 때문에, 정기적으로 결제를 이용하는 유저의 신용도 판단 이외에 정보가 활용될 것은 없다는 입장이다.
카카오 페이와 개미 페이는 신용도 판단 시스템 구축을 위해서 개인정보 처리에 관한 위탁·수탁 관계를 묶고 있어 개인정보의 이전에 유저의 동의는 필요없다고 하는 것이 카카오 페이측의 주장이다.신용 정보법 17조 1항은 「개인 신용 정보의 처리 위탁으로 정보가 제공되는 경우, 정보 주체의 동의는 구할 수 없다」라고 정하고 있다.
금융 감독원은 이것에 정면으로부터 반론했다.5월부터 7월에 걸쳐 행해진 카카오 페이에 대한 현장 검사에서는, 카카오 페이가 언급한 위탁·수탁 계약이 연결된 사실을 증명하는 근거가 발견되지 않았다.동원관계자는 「양 회사가 체결한 약정서는 있다가, 해외 결제 서비스 제공에 관한 양 회사의 역할과 책임에 대해 정하고 있는 것만으로 있어, 신용 점수 산출 시스템 관련의 위탁·수탁에 관한 내용은 전혀 기술이 없다」라고 이야기했다.
카카오 페이는 「개미 페이에 정보를 제공할 때, 랜덤 코드에 옮겨놓는 암호화 방식을 채용하고 있다」라고 해, 「유저를 특정하지 못하고, 신용도 판단 이외의 목적에서는 정보를 활용하는 것은 불가능하다」라고 주장했다.암호화되어 개미 페이 측에 제공된 유저의 개인정보는 원데이터를 가지고 있는 카카오 페이만을 식별할 수 있다라는 설명이다.
그러나, 금융 감독원은 카카오 페이의 개인정보 암호화 수준이 정교하지 않고, 일반인이라도 충분히 암호를 해제할 수 있는 수준이었다고 지적했다.동원의 실무 담당자는 검사 과정에서 카카오 페이의 암호를 해제했다고 한다.암호 해제에 성공한 담당자는, 컴퓨터 관련의 전공자도 아니다고 한다.동원관계자는 「카카오 페이의 암호화 방식은 매우 단순한 수준이다.인터넷상에서 일반인도 액세스 할 수 있는 「암호 해제 프로그램」을 사용해, 암호를 해제한 직원도 있다」라고 이야기했다.
■해외 결제 유저 정보도 과잉 제공
카카오 페이는 회원 전원의 개인정보 유출과는 별도로, 실제로 해외 결제를 이용한 고객의 정보를 무분별하게 유출시키고 있었다는 지적도 받고 있다.예를 들면, 중국에서 카카오 페이를 사용하고 결제를 실시했을 경우, 개미 페이 결제 시스템을 반드시 경유하지만, 그 때에 주문·결제정보 뿐만이 아니라, 카카오 어카운트 ID와 불완전한 형태의 전자 메일, 전화 번호도 제공되고 있었다.금융 감독원은 2019년 11월부터 해외 결제 유저의 정보계 5억 5000만건이 개미 페이에 제공되었다고 지적했다.동원관계자는 「카카오 페이가 중국 국내 결제에 개미 페이를 이용한 초기에는 단지 주문 정보를 제공할 뿐(만큼)이었지만, 그 후 불필요하게 제공 정보가 확대했다」라고 이야기했다.
카카오 어카운트 ID를 개미 페이에 제공하는 것은, 유저의 선택적 동의 사항이다.ID를 제공하지 않아도, 해외 결제에 문제는 없다.그런데 , 카카오 페이는 해외 결제를 실시하는 유저에 대해, 카카오 어카운트 ID를 개미 페이에 제공하지 않으면 서비스를 이용할 수 없다고 하는 「필수 동의 사항」으로서 공지 하고 했다.
