원래 해당 뉴스 나오던 당시엔 관심 없었는데 여행 유튜브 보다가 해외에서 카카오페이 QR결제 하길래 얼마전 뉴스 생각나서 정확히 무슨 내용인가 찾아봤는데 내가 이해한 사건내용 정리해봄.

일단 문제는 카카오페이가 알리페이를 통해 4천만명이 넘는 사용자의 개인정보를 동의없이 넘겼다는 거고

이는 애플페이에 카카오페이 결제수단을 추가하기 위해 알리페이를 통한 신용지수 NSF스코어 산출이 필요했고 알리페이에서 NSF스코어 산출을 위해 필요한 사용자의 거래내역 데이터를 전달했다.

여기서 카카오페이측 주장은
1. 사용자 동의가 없었던 점은 알리페이와는 3자 입장이 아닌 위/수탁 관계로서 고객 동의는 불필요 했다.

2. 개인정보를 넘겼다는 점에서는 사용자를 식별할 수 있는 개인정보는 단방향 암호화를 통해 복호화 할수 없는 데이터를 넘겼다.


그럼 여기서 왜 카카오페이는 왜 애플페이 미사용자 까지 모든 사용자의 거래내역 정보를 넘겼을까?

기사에서는 일 1회씩 데이터를 넘겼다고 했으니 일 배치성으로 거래내역과 해당 거래내역이 어떤 사용자의 정보인지 사용자 자체는 특정을 못해도 키값으로는 묶여야 하니 개인정보 암호화 데이터를 같이 넘겼고 애플페이에 결제수단 등록후 바로 결제가 가능해야 하니 일배치로 넘기는 특성상 누가 언제 애플페이에 결제수단을 등록할지 모르니까 누가 요청을 하더라도 NSF스코어를 산출할 수 있도록 모든 사용자의 정보를 전달한게 아닐까 싶음.

물론 아무리 단방향 암호화를 했다 하더라도 왜 개인정보를 보낸건지는 모르겠음 거래내역 사용자 식별 키값이 필요했다면 다른 식별 키값을 썼을텐데.. NSF스코어 계산 요청을 하는 주체가 카카오페이가 아닌 애플페이인건가? 그럼 애플이 개인정보를 카카오페이와 같은 방법으로 단방향 암호화해서 넘기는게 아닌이상 알리페이도 개인정보를 암호화한 암호화 알고리즘이 뭔지, 솔트나 페퍼를 붙였다 해도 그것도 알고있다는 소리고 카카오페이를 통한건 아니지만 애플을 통해서 알리페이가 개인정보 평문을 받는다는 거네? 마음만 먹으면 애플페이 사용자 한정 거래내역에 대한 사용자 식별도 가능하다는 건가?

아무리 생각해도 암호화한 개인정보를 넘긴이유는 애플페이가 넘겨준 개인정보를 토대로 그 사람의 NSF스코어 계산을 위해 넘긴것 같은데 이 가정이 맞다면 애플페이가 개인정보를 카카오페이와 같은 암호화를 거친후에 넘기는가 아니면 양방향 암호화 후 넘기고 알리페이에서 복호화 후 카카오페이와 같은 방식의 단방향 암호화 후 활용하느냐에 따라 거래내역의 주인을 알리페이가 식별할 수 있냐 없냐가 갈리겠네