韩国六年逾505万人份居民登记号码外泄：130起案例被处置，CI/DI类在线身份识别信息泄露亦超278万份

据韩国社会民主党议员韩昌珉办公室对个人信息保护委员会（PIPC）与金融监督院（FSS）提交资料及公开处分案例的分析，2021年至2026年9月，韩国共有130起居民登记号码泄露案例被处置，除3起规模无法确认外，泄露总数达5,056,653份。需要说明的是，该数字为按案例的简单加总，同一个人的号码可能被多次泄露，因此并不代表实际受害人数；统计口径也以两家机构作出处分的日期为准，而非事件发生日。

按机构与主体划分，韩国儿童权利中心的三起泄露案件合计116.1万份，数量最多；其后依次为住宿平台Yanolja约100.29万份、NHN Witu约52.46万份、乐天卡约45.23万份、婚介企业Duo Information约42.75万份与LG Uplus约29.71万份。其中Duo Information与LG Uplus外泄的号码经过加密处理。另有Woori Card、釜山金融中心等三起案件因数据已删除、缺乏日志记录或泄露信息因人而异等原因，无法确定确切规模。

本条最具技术含量的部分是CI（连接信息）与DI（重复入会确认信息）的泄露统计。CI基于居民登记号码生成，用于跨在线服务识别并关联同一自然人；DI用于核验用户在同一站点的重复注册。已确认规模的案例中，Yanolja的DI约100.29万份、旅游企业Modetour Network的CI与DI合计约94.84万份、乐天卡的CI约83.64万份，合计超过278万份。由于CI被用于链接分散于各项服务中的信息，一旦泄露并与其他个人信息结合，可用于追踪个人的服务使用历史，风险并不低于原号码本身。

韩昌珉表示，居民登记号码是受严格管理约束的唯一识别号码，一旦泄露几乎无法挽回，可能引发冒用身份等长期危害，要求PIPC严查泄露实态、对管理不善行为严格处置。从合规实践看，本案提示两条控制线：一是对CI/DI这类由身份标识派生的关联键，企业应比照居民登记号码实施同等强度的加密与访问控制，而非视为「非原始标识」而降低保护等级；二是因日志缺失导致泄露规模无法确认，本身就构成可罚的问责缺口。