SEC 헤스터 피어스 위원, 암호화폐 KYC 정보 유출 방지 촉구
CryptoSlate2026년 9월 25일 22:002
미국 증권거래위원회(SEC)의 헤스터 피어스 위원은 금융 기관들이 고객 정보를 과도하게 수집하고 보유하는 관행에 제동을 걸어야 한다고 주장하며, 특히 향후 스테이블코인 규제 강화 시 발생할 수 있는 정보 유출 위험에 선제적으로 대비해야 한다고 강조했다.
최근 주요 핀테크 기업인 레볼루트(Revolut)의 개인정보 유출 사고는 금융 기관들이 고객 신원 확인(KYC)을 위해 수집하는 민감한 개인정보가 얼마나 취약한 공격 대상이 될 수 있는지를 여실히 보여주었다. 피어스 위원은 이러한 보안 사고들을 언급하며, 각 금융 기관이 개별적으로 고객 정보를 반복적으로 수집하는 대신, 재사용 가능한 디지털 신원 증명 시스템을 도입하여 데이터 중복 수집 및 저장으로 인한 위험을 최소화해야 한다고 역설했다.
피어스 위원은 현재의 KYC 시스템이 오히려 개인정보를 과도하게 수집하고, 이를 통해 금융망 전체를 감시하는 '파놉티콘(panopticon)'과 같은 형태로 변질될 수 있다고 우려를 표명했다. 그는 “오늘날 사회는 갈림길에 서 있다. 한쪽 길은 기존의 방식대로 더 많은 데이터를 수집하고, 더 많은 중개 기관의 감시를 받으며, 우리의 금융망을 파놉티콘으로 만드는 ‘고객 알기 제도(KYC)’ 요구 사항을 늘리는 것이다. 다른 한쪽 길은 범죄자를 잡는 능력을 향상시키는 동시에 이전보다 훨씬 적은 개인 정보를 수집하고, 미국인의 사생활을 보호하기 위해 더 신중하게 감시할 수 있는 새로운 기술을 활용할 기회이다”라고 말했다.
그는 금융 기관들이 특정 개인정보를 반드시 수집해야 하는지, 아니면 해당 정보가 증명하는 사실(예: 성인 여부, 국적, 제재 명단 포함 여부 등)에 대한 확인만으로 충분한지를 재고해야 한다고 주장했다. 피어스 위원이 제안한 속성 기반 자격 증명(attribute-based credentials) 시스템은 개인의 이름, 소득, 주소와 같은 민감한 정보를 노출하지 않으면서도, 고객이 특정 연령 요건을 충족하는지, 특정 국적을 가지고 있는지, 또는 제재 명단에 포함되어 있는지 등을 증명할 수 있도록 한다.
“하나 이상의 회사가 (개인정보를) 수집해야 하는가?”라는 질문을 던지며, 피어스 위원은 이미 고객이 제공하는 정보의 양과 이를 받는 기관의 수를 줄일 수 있는 기술이 존재한다고 강조했다. 다만, 이러한 발언은 SEC의 공식 입장이 아닌 개인적인 견해임을 명확히 했다.
이러한 논의는 워싱턴에서 스테이블코인에 대한 새로운 규제 체계가 구축되면서 더욱 중요해지고 있다. 제네시스 액트(GENIUS Act)는 허가받은 결제 스테이블코인 발행자에게 고객 신원 확인 프로그램 유지 의무를 부과하고 있으며, 규제 당국은 관련 발행자들이 고객으로부터 식별 정보를 얻고 유지하도록 요구하는 규칙을 제안하고 있다.
과거 코인베이스(Coinbase) 사례는 KYC 기록이 어떻게 공격의 표적이 되는지를 명확하게 보여주었다. 지난해 코인베이스는 해외 고객 지원 역할을 맡은 계약직 직원이나 직원을 매수하여 거래소 내부 시스템에 접근, 고객 정보를 빼돌린 공격자들로 인해 69,461명의 고객 정보가 유출되는 사고를 겪었다. 유출된 정보에는 이름, 주소, 전화번호, 이메일 주소, 부분적인 사회보장번호, 정부 발급 신분증 정보 등이 포함된 것으로 알려졌다. 이러한 사고는 KYC 정보를 중앙 집중식으로 대량 보유할 경우, 단 한 번의 침해로도 막대한 피해를 초래할 수 있음을 시사한다.
피어스 위원의 제안은 정보 보호와 금융 시스템의 효율성이라는 두 가지 목표를 동시에 달성하려는 시도로 해석된다. 재사용 가능한 디지털 신원 증명은 사용자가 자신의 신원 정보를 여러 기관에 반복적으로 제공하는 번거로움을 줄여줄 뿐만 아니라, 각 기관이 보유해야 하는 민감한 데이터의 양을 줄여 사이버 공격의 위험을 감소시킨다. 이는 궁극적으로 금융 시스템 전반의 보안 수준을 높이는 데 기여할 수 있다.
하지만 이러한 변화가 현실화되기까지는 기술적인 구현뿐만 아니라 규제 당국의 인식 변화와 산업계의 협력이 필수적이다. 특히, 스테이블코인 규제와 같이 새롭게 도입되는 제도들이 피어스 위원이 제안하는 방향과 조화를 이루며 발전해 나갈 수 있을지가 주목된다. 규제 당국이 데이터 수집 요건을 완화하면서도 자금 세탁 방지 및 테러 자금 조달 방지(AML/CFT) 등의 규제 목표를 달성할 수 있는 효과적인 대안을 마련하는 것이 과제가 될 것이다.
암호화폐 산업은 본질적으로 국경을 초월하고 탈중앙화된 특성을 가지고 있어, 기존의 중앙 집중식 신원 확인 시스템을 그대로 적용하기에는 한계가 있다. 따라서 암호화폐 시장에 특화된, 더욱 유연하고 혁신적인 신원 확인 솔루션의 개발과 도입이 필요하다. 헤스터 피어스 위원의 제안은 이러한 혁신을 촉진하는 중요한 계기가 될 수 있으며, 미래 금융 시스템의 개인정보 보호와 보안 강화에 대한 심도 깊은 논의를 이끌어낼 것으로 기대된다.