한국 개인정보의 생애: 수집·결합·유출·재사용의 경로

한국에서 개인정보가 “털린다”는 말은 하나의 사건처럼 들리지만, 실제 정보의 생애는 훨씬 길다. 회원가입, 경품, 상담, 본인확인, 결제, 배송, 광고를 거치며 정보가 합법적으로 여러 사업자와 시스템에 복제되고, 일부는 유출이나 불법 거래를 통해 범죄시장으로 들어간다. 그 뒤에는 다른 자료와 결합되고, 계정 탈취·스미싱·보이스피싱·영업명단·표적 피싱의 재료로 다시 사용될 수 있다.

따라서 핵심 질문은 “내 이메일이 누구에게 한 번 팔렸는가”보다 어떤 식별자를 중심으로 몇 개의 데이터가 연결되고, 누가 어떤 목적으로 다시 사용할 수 있게 되었는가에 가깝다.

정보는 한 번 팔리고 사라지는 물건이 아니다

개인정보 파일은 복제재다. A가 B에게 넘겨도 A의 사본이 자동으로 사라지지 않는다. B가 다시 다른 시스템에 넣거나 제휴·위탁·불법 거래를 통해 복사할 수 있다. 한 번의 유출이 하나의 목적지로 끝나지 않는 이유다.

더구나 이름, 이메일, 휴대전화번호, 과거 주소 같은 정보는 시간이 지나도 다른 자료를 연결하는 열쇠로 남는다. 오래된 전화번호가 현재 연락에는 쓸모없더라도, 예전 쇼핑몰 자료와 새로운 데이터가 같은 사람인지 확인하는 보조키가 될 수 있다.

그래서 개인정보의 위험은 “최신성”만으로 결정되지 않는다. 서로 다른 시기의 조각을 같은 사람에게 붙일 수 있는가가 중요하다.

경품 응모권의 작은 글씨: 합법적 수집도 문제의 시작이 될 수 있다

한국의 개인정보 산업을 이해하는 상징적인 사례가 홈플러스 경품행사 사건이다. 고객은 자동차나 상품권 경품에 응모했지만, 개인정보가 보험회사 영업에 제공될 수 있다는 내용이 응모권의 매우 작은 글씨로 표시되어 있었다. 보험회사는 전달받은 명단에서 기존 고객이나 통화 거부 대상 등을 먼저 거르고, 남은 ‘유효 데이터’를 대상으로 영업하는 구조를 사용했다.

이 사례가 중요한 이유는 정보가 반드시 해킹으로만 빠져나가는 것이 아니라는 점이다. 형식상 동의가 존재하더라도 이용자가 무엇에 동의하는지 실질적으로 이해하기 어렵다면, 체크박스와 고지문 자체가 데이터 산업의 입구가 된다.

• 대법원 관련 자료

제3자 제공과 처리위탁은 같은 이동이 아니다

한 회사 밖으로 정보가 나간다고 해서 모두 같은 법적 성격을 갖는 것은 아니다.

기업 A가 기업 B의 독립적인 영업이나 서비스 목적을 위해 정보를 넘기면 원칙적으로 제3자 제공의 문제가 된다. 반면 쇼핑몰이 이메일 발송사, 콜센터, CRM 업체, 클라우드 사업자에게 자기 업무의 일부를 맡기면 처리위탁의 구조가 된다.

이 구분은 법적으로 중요하지만, 이용자의 체감에서는 두 경우 모두 자신의 정보가 여러 조직과 시스템에 존재하게 된다는 공통점이 있다.

쇼핑몰 → CRM → 이메일 발송사 → 클라우드 → 상담센터 → 분석업체

와 같은 사슬에서는 “판매된 횟수”보다 실제로 접근 가능한 조직·시스템·계정이 얼마나 늘어났는가가 더 실질적인 질문이 될 수 있다.

수탁자는 원래 업무 범위를 벗어나 사용해서는 안 되고 재위탁·관리감독에도 제한이 있지만, 정보의 물리적·논리적 복제 지점이 많아질수록 사고와 오남용을 관리해야 할 표면도 넓어진다.

이메일보다 강한 접착제: 휴대전화번호와 CI

이메일은 여러 서비스의 기록을 연결하는 좋은 식별자지만, 한국에서는 휴대전화번호와 본인확인 체계가 훨씬 강한 접착제가 될 수 있다.

본인확인 과정에서는 주민등록번호를 각 서비스가 직접 보관하지 않도록 하면서 동일인 여부를 확인하기 위해 CI(연계정보)와 DI(중복가입확인정보)가 사용된다. 이런 식별자는 서비스마다 흩어진 계정을 현실의 한 사람과 연결하는 기능을 한다.

따라서 익명에 가까운 이메일로 가입했더라도 휴대전화 본인확인을 거치면 온라인 계정과 현실의 신원이 강하게 연결될 수 있다. 이후 이메일을 바꾸더라도 다른 식별자가 유지된다면 동일인 연결은 계속 가능하다.

• KISA 본인확인 관련 안내

이 지점에서 중요한 질문은 “주민등록번호를 덜 쓰게 되었는가”만이 아니다. 주민등록번호의 직접 저장을 줄이는 대신 어떤 새로운 연결키가 생겼고, 그 키가 어느 범위에서 쓰이는가를 함께 봐야 한다.

주소 자체보다 프로필이 더 값질 수 있다

현대 데이터 산업에서 이메일 주소나 전화번호 원문보다 더 값진 것은 “이 사람이 무엇을 할 가능성이 높은가”라는 프로필일 수 있다.

쇼핑 기록, 검색과 클릭, 위치와 이동, 결제, 상담 이력 같은 데이터는 다음과 같은 분류로 바뀔 수 있다.

• 자동차보험을 바꿀 가능성이 높은 사람
• 이사나 대출 상담에 반응할 가능성이 높은 사람
• 특정 상품군에 관심이 높은 사람
• 서비스를 이탈할 가능성이 높은 사람
• 사기나 연체 위험이 높다고 추정되는 사람

여기에는 직접 입력하지 않은 정보도 포함될 수 있다. 여러 행동을 결합해 가족상태, 건강관심, 정치·사회적 성향 같은 민감한 특성을 추정할 가능성이 있기 때문이다.

이때 거래되는 것은 단순한 연락처 목록이 아니라 선별된 ‘리드’다. 예를 들어 “특정 지역 거주, 40대, 차량 보유 추정, 보험 관심, 상담 가능”처럼 영업 성공 가능성이 붙은 사람이 상품이 된다.

광고 플랫폼에서는 ‘판매’ 없이도 사람이 연결된다

기업은 고객 이메일이나 전화번호를 광고 플랫폼의 기존 계정과 대조해 광고 대상을 만들 수 있다. 기술적으로 원문을 그대로 보관하지 않거나 해시 처리해 전송하는 경우가 있더라도 기능의 핵심은 “이 고객이 플랫폼에서 어느 계정인가”를 알아내는 것이다.

그 뒤 웹사이트와 앱의 쿠키, 광고식별자, 클릭, 체류시간 같은 행태정보가 붙으면 다음과 같은 변환이 가능해진다.

이메일·전화번호 → 플랫폼 계정 → 기기·광고 식별자 → 행동 기록 → 관심군

따라서 개인정보 문제는 언제나 “주소록 파일이 현금으로 팔렸는가”라는 형태로만 나타나지 않는다. 주소를 열쇠로 여러 데이터 공간의 프로필이 연결되는 것 자체가 중요한 현상이다.

공개된 크레딧이 검색 가능한 개인 이력이 될 때

책의 판권면과 영화·방송 스탭롤의 이름은 원래 공개된 기록일 수 있다. 그러나 여러 작품·직책·시점을 하나로 결합해 검색 가능하게 만들면 새로운 성격의 정보가 된다. 어느 판권면에 이름이 있었다는 관찰과 그 이름이 현실의 한 사람의 전 직업 경력을 설명한다는 추론은 다르다. 동명이인을 잘못 합치면 존재하지 않는 경력이 만들어지고, 반대로 정확하게 결합해도 지금까지 흩어져 있던 개인의 이동 경로가 쉽게 드러날 수 있다.

크레딧 출현 기록 아카이브는 작품·시점·역할을 우선 기록하고 실제 사람의 동일성 판단은 별도로 관리하는 방식으로 이런 문제를 줄이려 한다. 이미 공개된 기록이라는 사실만으로 재식별, 통합 검색, 장기 보존, 원본 재게시의 모든 목적이 자동 승인되는 것은 아니다. 정정·비공개·잘못된 병합의 분리 요청과 출처별 이용 범위를 설계 단계에서 생각해야 한다.

합법적 데이터 결합의 세계

모든 데이터 결합이 불법 거래나 감시는 아니다. 한국의 개인정보보호 체계에는 통계작성, 과학적 연구, 공익적 기록보존 등의 목적을 위한 가명정보 처리와 결합 제도가 있다. 서로 다른 사업자의 가명정보 결합에는 지정된 결합전문기관을 통한 절차가 사용된다.

통신 데이터와 소비 데이터를 결합해 소비행태를 분석하거나, 의료·건강보험·사회보장·유동인구 같은 자료를 결합하는 연구도 이런 제도적 영역에 놓일 수 있다.

이 세계는 두 가지를 동시에 보여 준다. 데이터 결합은 감염병 연구, 복지 분석, 교통·상권 연구처럼 공익적 가치를 만들 수 있다. 동시에 같은 종류의 연결 기술이 영업, 위험평가, 선별, 감시에 사용될 때에는 다른 권리 문제가 생긴다.

따라서 “결합은 나쁘다”와 “익명화했으니 안전하다”라는 두 극단 모두 충분하지 않다. 누가, 어떤 법적 근거로, 어떤 목적을 위해, 어느 수준까지 재식별 가능성을 통제하면서 결합하는가를 봐야 한다.

• 개인정보 보호법의 가명정보 관련 조항

마이데이터: 흩어진 정보가 동의 아래 다시 모이는 시대

마이데이터는 정보주체가 자신의 정보를 다른 사업자에게 전송하도록 요구할 수 있게 하는 제도다. 금융 분야에서 시작해 의료·통신 등 여러 영역으로 확대되어 왔다.

이 제도는 몰래 정보를 훔치는 구조가 아니다. 오히려 정보 이동에 대한 개인의 권리를 강화하려는 취지가 있다. 그러나 데이터가 잘 모이는 만큼 새로운 질문이 생긴다.

• 한 번의 전송 동의가 지속적인 전송으로 이어지는가.
• 전송받은 사업자가 원자료에서 어떤 파생 점수와 프로필을 만드는가.
• 철회하면 원본만 지워지는가, 파생정보도 함께 사라지는가.
• 추천과 평가 알고리즘이 만든 점수도 정보주체가 통제할 수 있는가.
• 의료·소비·통신 같은 서로 다른 생활 영역이 한 서비스에서 결합될 때 무엇이 새로 추론되는가.

이전 시대의 문제가 데이터가 너무 흩어져 있다는 것이었다면, 다음 시대에는 동의 아래 너무 잘 모이는 것이 새로운 문제일 수 있다.

유출된 정보의 첫 목적지는 종종 피해자가 아니다

해킹으로 정보가 빠져나가면 공격자가 곧바로 모든 개인을 한 명씩 공격한다고 생각하기 쉽다. 실제로는 기업 자체가 첫 번째 협박 대상이 되는 경우가 많다.

랜섬웨어 공격자는 서버를 암호화하는 동시에 내부 자료를 빼낸 뒤 “복구하고 싶으면 돈을 내라”, “자료 공개를 막고 싶으면 돈을 내라”고 요구할 수 있다. 이 단계에서 고객정보는 개인사기의 재료이기 전에 기업을 상대로 한 갈취의 인질이다.

협상이 실패하거나 공격자가 자료를 공개·재판매하면 파일은 다른 범죄자들이 사용할 수 있는 원료가 된다. 거대한 압축파일이 공개되었다고 해서 곧바로 모든 행이 사용되는 것은 아니다. 많은 정보는 저장되어 있다가 다른 자료와 결합될 때 가치가 생긴다.

범죄시장에서 먼저 하는 일: 정리와 결합

대규모 유출자료는 대개 깨끗한 고객명부가 아니다. 오래된 번호, 중복 이름, 잘못된 주소, 탈퇴 계정, 해시된 비밀번호, 가족이나 배송 수령인의 정보가 섞여 있다.

그래서 다음 단계는 정리다.

이름 + 휴대전화 + 이메일

에 다른 사건에서 나온

주소 + 생년월일 + 쇼핑몰 이용 여부 + 비밀번호 + 직장 + 과거 계정

을 붙인다.

여기에서도 이메일과 전화번호가 서로 다른 유출사건을 연결하는 접착제로 작동한다. 개인정보 한 건의 가치가 낮더라도 여러 조각이 결합되면 “이 사람을 어떤 방식으로 공격할 것인가”를 결정하기 쉬워진다.

가장 즉시 돈이 되는 용도: 계정 탈취

이메일과 비밀번호 조합이 유출되면 범죄자는 같은 조합을 다른 서비스에 자동으로 대입할 수 있다. 비밀번호를 여러 곳에서 재사용한 사람만 골라내는 크리덴셜 스터핑이다.

탈취한 계정은 종류에 따라 현금화 방식이 다르다.

• 쇼핑몰 계정의 포인트·상품권·저장된 결제수단 악용
• 중고거래·소셜커머스 계정으로 허위매물 등록
• SNS·메신저 계정으로 지인 사칭과 추가 피싱
• 이메일 계정으로 다른 서비스의 비밀번호 재설정
• 게임 계정과 아이템의 판매
• 가상자산·금융 서비스 계정에 대한 추가 공격

이 때문에 단순 이메일 주소보다 이메일+재사용 비밀번호 조합이 훨씬 즉시 사용 가능한 위험정보가 된다.

• KISA의 계정정보 유출·부정로그인 관련 안내

스미싱과 보이스피싱: 정확한 사실 하나가 거짓말 전체를 살린다

이름과 전화번호만 가진 사기꾼은 무작위로 전화를 건다. 여기에 실제 이용 서비스, 배송지, 최근 주문, 통신사, 직장 같은 사실 하나가 더 붙으면 신뢰도가 급격히 올라간다.

예를 들어 “최근 이용한 서비스의 유출 피해보상”, “배송 중인 카드의 반송”, “환불 신청”처럼 실제 사건과 맞물린 문구를 만들 수 있다. 범죄자는 피해자의 모든 사실을 알 필요가 없다. 한두 개의 정확한 정보가 나머지 거짓말의 신빙성을 보증한다.

그래서 대형 개인정보 유출사고가 알려진 뒤에는 그 사건 자체를 소재로 한 피해보상·환불·사실조회 사칭이 2차 범죄가 될 수 있다.

• KISA 보호나라의 스미싱·보이스피싱 관련 안내

개인정보는 더 많은 개인정보를 빼내는 입구가 된다

초기 유출자료만으로 곧바로 금융계좌를 탈취하기 어려운 경우가 많다. 대신 범죄자는 이미 알고 있는 이름·주소·서비스 이용 사실을 제시해 신뢰를 얻은 뒤 나머지 열쇠를 피해자에게서 직접 받아낸다.

전형적인 흐름은 다음과 같다.

1. 이미 가진 개인정보로 피해자의 경계를 낮춘다.
2. 가짜 사이트나 악성 앱 설치를 유도한다.
3. 신분증 사진, 금융정보, 비밀번호, 인증번호를 요구한다.
4. 스마트폰의 문자·연락처·통화정보 등에 접근한다.
5. 확보한 인증수단으로 금융거래나 다른 계정을 공격한다.

따라서 첫 유출은 완전한 열쇠라기보다 피해자가 나머지 열쇠를 스스로 넘기게 만드는 대본의 첫 문장이 될 수 있다.

신분증·인증수단이 붙으면 명의도용 위험이 급증한다

이름, 주민등록번호, 주소 정도만으로 모든 금융행위를 할 수 있는 것은 아니다. 그러나 신분증 이미지, 본인인증 정보, 휴대전화 장악 같은 요소가 추가되면 피해의 질이 달라진다.

가능한 공격에는 피해자 명의 휴대전화 개통, 계좌·카드 개설 시도, 비대면 대출, 결제수단 등록, 대포계정 악용 등이 있다. 특히 피해자의 휴대전화를 통제하면 다른 서비스의 인증과 계정 복구까지 연쇄적으로 공격할 수 있다.

• 금융보안원의 금융사기·명의도용 사례 안내

카드정보는 다른 개인정보보다 빨리 현금화된다

카드번호, 유효기간, 보안코드 등 실제 결제에 필요한 정보가 확보되면 범죄자는 직접 결제를 시도하거나 다른 조직에 판매할 수 있다. 구매한 고가 제품, 상품권, 디지털 상품을 되팔아 현금화하는 방식도 가능하다.

이런 정보는 주소나 이름보다 수명이 짧다. 카드 정지와 재발급으로 가치가 빠르게 사라지기 때문에 공격자는 비교적 신속하게 사용하려는 유인이 있다.

• 금융보안원의 쇼핑몰 카드정보 탈취 사례

영업 DB 시장: 해킹 자료와 합법적 리드를 구분해야 한다

보험·대출·상조·부동산·이사 같은 업종에서는 상담 가능성이 높은 잠재고객 명단이 경제적 가치를 가진다. 무료상담, 가격비교, 견적, 설문, 경품 같은 서비스가 리드 생성의 입구가 될 수 있다.

하지만 외부에서 전화 한 통만 보고 그 정보의 출처를 단정하기는 어렵다.

• 이용자가 직접 상담을 신청했을 수 있다.
• 선택적 제3자 제공 동의가 있었을 수 있다.
• 광고 플랫폼의 관심군 분류를 거쳤을 수 있다.
• 합법적 위탁업체가 연락했을 수 있다.
• 불법으로 복제·거래된 명단일 수 있다.
• 아무런 개인화 없이 대량 발송한 우연일 수도 있다.

따라서 “스팸전화가 왔다 = 내 정보가 불법 판매되었다”는 등식은 성립하지 않는다. 동시에 여러 경로가 한 시장에서 겹쳐 보이기 때문에 실제 출처를 추적하기 어렵다는 점 자체가 중요한 문제다.

조직 공격에서는 사람의 접근권이 상품이 된다

유출된 회사 이메일, 직책, 거래처, 개발도구 계정은 개인 소비자를 속이는 데만 쓰이지 않는다. 범죄자는 조직의 내부 접근권을 가진 사람을 골라 표적 피싱을 만들 수 있다.

• 대표나 임원을 사칭한 송금 요청
• 실제 거래처를 흉내 낸 견적서·세금계산서
• 인사팀을 사칭한 급여계좌 변경
• 개발자를 겨냥한 GitHub·클라우드 로그인 피싱
• 취업제안을 가장한 악성파일
• 유지보수업체를 통한 고객사 침투

이때 거래되는 가치의 중심은 개인의 돈보다 그 사람이 가진 회사 권한과 신뢰관계다.

왜 대부분의 사람은 뚜렷한 피해를 느끼지 못하는가

대량 유출이 반복되어도 모든 사람이 즉시 명의도용을 당하지 않는 데에는 몇 가지 이유가 있다.

첫째, 한 사람의 단순 연락처는 값이 낮을 수 있다. 범죄자는 수십만·수백만 건을 자동으로 처리해 반응하는 소수만 걸러내면 된다.

둘째, 유출된 정보는 바로 사용되지 않고 저장될 수 있다. 몇 년 뒤 새로운 사건의 데이터와 결합될 때 다시 가치가 생긴다.

셋째, 공격이 실패하면 피해자는 그 사실을 모른다. 누군가 자신의 이메일과 비밀번호로 수백 개 사이트에 로그인을 시도했지만 모두 실패한 경우, 당사자에게는 아무 사건도 일어나지 않은 것처럼 보인다.

넷째, 오래된 자료도 동일인 확인에 도움이 된다. 과거 주소나 이메일이 다른 데이터와 맞아떨어지면 새로운 프로필의 신뢰도를 높이는 보조 증거가 된다.

그러므로 “유출됐지만 아무 일도 없었다”는 말은 정보가 사용되지 않았다는 증거가 아니라, 성공한 공격이 눈에 보이는 피해로 나타나지 않았다는 뜻일 수 있다.

AI 이후 달라지는 것은 정리와 서사화의 비용이다

생성형 AI가 유출된 개인정보에서 새로운 비밀을 마법처럼 알아내는 것은 아니다. 그러나 지저분한 데이터의 정리, 자유형식 문서에서 이름·주소·계좌·관계를 추출하는 일, 서로 다른 표기를 통합하는 일, 사람별 요약과 피싱 문구를 만드는 일의 비용을 낮출 수 있다.

예를 들어 이전에는

김○○ / 전화번호 / 주소 / 쇼핑몰 계정

이라는 행이 있었다면, 자동화된 분석은 이를 다른 공개·유출자료와 대조해 “특정 지역 거주, 특정 서비스 이용, 배송 사칭에 활용 가능한 사실 보유” 같은 공격용 프로필로 정리할 수 있다.

다만 범죄조직이 실제로 어느 정도까지 생성형 AI를 도입했는지에 대한 구체적 규모는 이 논의에서 확인되지 않았다. AI가 이런 작업을 쉽게 할 수 있다는 기술적 가능성과 실제 범죄시장의 보급 정도를 구분해야 한다.

행크 애셔의 세계와 한국의 차이

미국의 행크 애셔 이야기는 한 사업가와 몇 개의 강력한 데이터베이스를 중심으로 서술할 수 있다. 한국의 개인정보 생태계는 그보다 더 분산되어 보인다.

체크박스를 설계한 서비스 기획자, 본인확인기관, 통신사, 결제사, CRM 업체, 콜센터, 광고 플랫폼, 데이터 결합기관, 클라우드 사업자, 유출자료 중개자, 피싱 조직이 서로 다른 목적과 법적 지위로 한 사람의 데이터를 만진다.

그래서 한국판의 핵심은 “모든 정보를 가진 한 회사”를 찾는 것보다 아무도 전체를 설계하지 않았는데도 결과적으로 연결 가능한 사람의 그림자가 만들어지는 과정에 있다.

이 지점은 행크 애셔에서 팔란티어까지와 대비된다. 중앙집중적 검색창의 역사와 분산된 데이터 생태계는 서로 다르지만, 둘 다 식별자와 결합 가능성이 정보의 권력을 키운다는 점에서는 만난다.

스스로 유통 경로를 추적하는 씨앗 주소 실험

개인의 데이터 이동을 완전히 추적하기는 어렵지만, 자신의 정보만을 사용한 제한적인 실험은 가능하다.

서비스마다 다른 이메일 별칭이나 독립 주소를 사용한다.

• 보험 상담 전용 주소
• 쇼핑 전용 주소
• 설문·경품 전용 주소
• 구직 전용 주소
• 여행 전용 주소

각 주소를 한 서비스에만 넣고, 최초 입력 날짜와 화면, 필수·선택 동의, 제3자 제공업체, 위탁업체, 보유기간, 개인정보처리방침 변경, 이후 수신한 메일의 발신자와 링크를 기록한다.

특정 전용 주소가 전혀 다른 업체의 영업메일에 등장하면 유통 경로를 의심할 단서가 된다. 그러나 그것만으로 불법 판매를 증명할 수는 없다. 같은 기업집단, 위탁 발송, 회사명 변경, 광고대행, 계정 유출 같은 다른 가능성을 확인해야 한다.

동일한 사람을 서로 다른 관심사로 등록해 각 주소에 어떤 광고와 영업이 따라오는지 비교하면, 주소가 퍼졌는지뿐 아니라 최초의 행동이 어떤 프로필로 굳어지는지를 관찰할 수 있다.

이 실험은 반드시 본인 소유의 주소와 계정으로만 해야 하며, 다른 사람의 개인정보를 수집하거나 유통 경로를 추적하는 방식으로 확장해서는 안 된다.

개인정보의 유통기한은 사건 종료일과 다르다

개인정보 침해 사고는 공지와 과징금, 비밀번호 변경 안내가 끝나면 행정적으로 종료될 수 있다. 그러나 복제된 데이터의 생애는 그보다 길다.

한 파일은 기업 협박의 인질이었다가, 나중에는 계정 탈취 목록이 되고, 다시 피싱 대본의 사실 확인 자료가 되며, 더 오래 지나서는 다른 데이터베이스의 동일인 매칭을 돕는 보조자료가 될 수 있다.

따라서 개인정보 보호를 “이번 유출로 당장 돈이 빠져나갔는가”만으로 평가하면 장기 위험을 놓친다. 개인정보의 핵심 속성은 한 번 유출되면 회수하기 어렵고, 다른 데이터가 추가될수록 다시 가치가 생길 수 있다는 것이다.

관련 문서

• 행크 애셔에서 팔란티어까지
• AI와 민주주의의 좁은 회랑
• AI 대화 데이터와 접근권

검토 상태

이 글은 현재 접근 가능한 논의에서 이미 확인·언급된 한국의 판례·기관 안내·사례와 그 위에서 구성된 해석을 총합했다. 이번 편집에서는 외부 인터넷 자료를 새로 조사하지 않았다. 홈플러스 사건의 세부 사실, CI·DI의 제도적 범위, 가명정보 결합과 마이데이터의 최신 적용 범위, 최근 유출·금융사기 사례의 수치와 세부 경로는 후속 외부 재검증이 필요하다. AI가 범죄 데이터 정리와 공격 대본 생성 비용을 낮춘다는 부분은 기술적 가능성에 관한 추론이며, 특정 범죄조직의 실제 도입 규모를 확인한 사실이 아니다.