■ 진단 개인정보 `블랙홀` 모바일 결제

(1) 7개 앱카드 개인정보 수집 실태

앱카드·간편결제 등 모바일 결제가 급성장하고 있는 가운데, 신용카드사와 전자결제대행(PG)사들이 모바일 결제 기능과
전혀 관계없는 개인정보까지 무작위로 수집·저장하고 있는 것으로 나타나 충격을 주고 있다.

특히 신용카드사들은 앱카드를 스마트폰 등 모바일기기에 다운로드받을 때 최대 29가지에 달하는 중요 개인정보를 수집하고
있는 것으로 드러났다. 하지만 현재로서는 모바일 결제 상에서 발생하는 무분별한 개인정보 수집을 막을 뚜렷한 방법이 없어
금융당국 등의 시급한 대책 마련이 요구된다.

6일 디지털타임스가 앱카드를 서비스 중인 7개 신용카드사의 개인정보 수집 내역을 조사한 결과, 대다수 카드사들이 앱카드를 통해 사용자 모바일기기 내의 △사진·미디어파일 △주소록·캘린더 읽기 △통화 기록 등 사생활과 밀접한 개인정보를
무분별하고 광범위하게 수집하고 있는 것으로 조사됐다. 카드사별로는 롯데카드가 가장 많은 29개 항목에 걸쳐
개인정보를 수집하고 있으며, 삼성카드와 현대카드도 각각 27개와 25개에 달했다. 7개사 평균은 22개다.

개인정보 수집 내역은 더욱 심각하다. 7개 카드사 모두 앱카드 기능과 전혀 관계없는 개인정보까지 무차별로 수집하고 있는
것으로 나타났다. 우선 현대·삼성·롯데카드는 앱카드를 통해 사용자 위치정보를 수집하고 있다.

또 KB국민·현대·신한·삼성카드 등 대부분이 모바일기기의 사진/미디어 파일에 대한 접근 권한을 취득하고 있다.
특히 현대카드는 △실행 중인 앱 검색 △(어느 사이트를 인터넷으로 검색했는지 확인할 수 있는) 웹 북마크 및 기록 읽기
△주소록·캘린더 읽기 △다른 앱 종료 기능 등 '개인정보 사찰'에 가까운 권한을 앱카드 다운로드시 요구하고 있다.
신한카드도 △실행중인 앱 검색 △사진과 동영상 찍기 등의 불필요한 개인정보에 대한 접근권한을 요구하고 있고,
농협카드 역시 △주소록 읽기 △위치정보 권한 등 민감한 개인정보를 수집하고 있다.

이 같은 개인정보 수집은 사용자가 동의해야 가능한 것이지만 동의 절차 없이는 앱카드 다운이 불가능하다는 점에서 사실상
강요나 다름 없다는 것이 전문가들의 지적이다. 특히 전문가들은 결제 통지를 위한 SMS 주고받기 기능과 인터넷에서
데이터받기, 네트워크 연결 보기, 가맹점 정보와 연동을 위한 위치정보 기능, 근거리무선통신(NFC) 제어 기능 등 5~6개
개인정보만 수집하면 앱카드 결제 시스템 구동을 위한 내부 접근권한 확보에 충분한 것으로 보고 있다.

김정혁 한국은행 전자금융팀장은 "모바일에서 결제를 진행하려면 카드정보 입력과 카드사 본사 서버 전송 등을 위해
일부 기능에 대한 접근권한에 있으면 된다"며 "카드사가 고객 모바일기기에서 사진찍기, 주소록 열람 등을 수집하고
보관·관리할 이유가 전혀 없다"고 말했다.

하지만 현재로서는 카드사들의 무분별한 모바일 개인정보 수집을 막을 뚜렷한 방법이 없다는 게 전문가들의 지적이다.
더욱이 방송통신위원회 소관 정보통신망법, 안전행정부 소관 개인정보보호법, 금융당국 소관인 전자금융거래법 등이 얽혀 있어, 어느 부처가 어떤 법을 통해 규제해야 할지 애매모호한 상태다.

이에 대해 금융감독원 관계자는 "앱카드에도 사기방지시스템 구축을 위해 카드사가 하드디스크 시리얼 넘버, IP주소,
MAC 주소(모바일 랜카드의 고유 식별번호) 등은 수집할 수 있도록 허용하고 있지만, 그 외의 개인정보에 대해서는 엄격히
금지하고 있다"며 "조사를 통해 엄중히 조치하겠다"고 말했다.

한편, 카드사들은 과도한 개인정보 지적에 대해 '자신들도 몰랐다'며 관련 내용을 폐기하겠다고 밝혔다.
한 카드사 관계자는 "앱카드 초기 구현시 기본적인 플랫폼 양식에 주소록 접근 권한 같은 것이 들어있었던 것 같다"며
"불필요한 항목은 즉시 지울 것"이라고 말했다.