여권번호 노출, 실제 악용은 어디까지 가능한가
공군 1호기 탑승자 168명의 여권번호와 생년월일 등 신상정보가 올해 6월부터 외부 사이트에 노출된 사실이 확인됐다. 여권번호 단독으로는 위조가 어렵지만 생년월일 등과 묶이면 온라인 신분도용 위험이 커지고 고위 인사라는 점에서 보안 우려가 더해진다. 유출 경위와 악용 여부는 아직 조사 중이므로 확인된 사실과 추측을 구분해 읽어야 한다.
지금까지 확인된 것
공군 1호기 탑승자 168명의 신상정보가 외부 사이트에 올라온 사실은 확인됐다. 보도에 따르면 이재명 대통령과 김혜경 여사의 생년월일과 여권번호, 다른 탑승객들의 여권번호와 발급일·만료일이 포함됐다. 이 명단은 올해 6월 주요 7개국 정상회의 참석을 위한 유럽 순방 때 작성된 탑승자 명단으로 추정된다.
파일이 올라온 곳은 파일의 악성코드 여부를 검사해 주는 유료 사이트였다. 청와대는 사안을 미리 인지하고 경찰에 수사를 의뢰했으며, 당시 탑승했던 직원들의 여권 교체에 들어갔다고 밝혔다. 외교부는 유출 경위를 조사 중이다.
반대로 아직 확인되지 않은 것도 분명히 해 둘 필요가 있다. 누가 어떻게 파일을 올렸는지, 실제로 정보가 악용됐는지, 얼마나 많은 사람이 열람했는지는 수사와 조사가 끝나야 드러난다.
여권번호만으로 할 수 있는 일은 제한적이다
Photo by Stefan Szankowski on Unsplash
여권번호가 노출됐다는 말은 강하게 들리지만, 번호 하나만으로 할 수 있는 일은 생각보다 적다. 보안 전문가들은 여권번호만으로는 위조 여권을 만들 수 없다고 본다. 위조에는 실물 책자, 보안 요소, 사진 같은 것이 필요하기 때문이다.
위험이 커지는 지점은 번호가 다른 정보와 묶일 때다. 이번 사안처럼 생년월일, 이름, 발급일과 만료일이 함께 노출되면 이야기가 달라진다. 여권 사본은 이미 여러 온라인 서비스에서 본인 확인 수단으로 쓰이고 있어, 이런 정보 묶음은 온라인 신분도용의 재료가 된다. 여러 사람의 실제 정보 조각을 가짜 정보와 섞어 새 신분을 만드는 합성 신분사기에 쓰일 수도 있다.
과거 해외 사례도 이 결을 보여 준다. 2018년 메리어트 호텔 유출 때 회사는 여권번호 악용 가능성을 낮게 봤지만, 실제 사기 피해가 확인된 고객에게는 재발급 비용을 보상했다. 2007년 미국 국무부 기록 유출 때는 대부분 피해가 없었는데도 당사자 전원에게 1년간 무료 신용감시가 제공됐다. 실제 피해는 제한적일 수 있지만 대비는 별개라는 뜻이다.
이번 사안이 보통 유출과 다른 점
일반 소비자 유출과 구별되는 지점은 노출된 사람들의 지위다. 명단에는 외교·안보 고위 인사와 경호 대상, 비서실 직원이 들어 있다. 여권번호의 금전적 악용보다, 누가 언제 어떤 일정으로 함께 움직였는지가 드러나는 것 자체가 경호와 보안 측면에서 민감하다.
다만 이 부분은 확정된 피해가 아니라 우려의 영역이다. 동선 정보가 실제 위협으로 이어졌다는 증거는 아직 없다. 위험의 성격이 일반 유출과 다르다는 정도로 읽는 편이 정확하다.
정부가 확인해야 할 것들
이런 사안에서 당국이 짚어야 할 항목은 비교적 분명하다.
- 노출된 정보의 정확한 범위와 게시·열람 기간
- 파일이 다른 곳으로 재유포됐는지 여부
- 노출된 여권의 무효화와 재발급 진행 상황
- 유출 경위와 책임 소재에 대한 수사 결과
청와대가 여권 교체에 들어간 것은 이 가운데 재발급에 해당하는 조치다. 나머지 항목이 어떻게 정리되는지가 사안의 실제 무게를 가른다.
보도를 읽을 때의 기준
같은 사건이라도 기사마다 표현의 무게가 다르다. 읽을 때 한 가지만 기억하면 된다. "확인됐다", "밝혔다"처럼 주체가 분명한 사실과, "추정된다", "알려졌다", "가능성이 있다"처럼 아직 열린 표현을 나눠서 받아들이는 것이다.
노출된 항목과 인원, 수사 의뢰 같은 부분은 확인된 사실에 가깝다. 반대로 유출 경위나 악용 여부를 단정하는 서술은 대개 아직 조사 중인 영역이다. 이 둘을 섞지 않고 읽으면, 불안을 키우는 추측과 실제로 벌어진 일을 가려낼 수 있다.