38stock 뉴스속보

www.38.co.kr

2025년 05월 21일 15:49 황국상 기자

"SKT 사태, 위법 사항 강력 제재... 개인정보 싱가포르 유출 정황"

"개인정보 유출을 "유출 가능성"이라고 통지, 부실하고 뒤늦은 통지"
SKT 유출개인정보는 싱가포르로 유출 정황

SK텔레콤 해킹사태와 관련해 개인정보보호위원회가 SK텔레콤의 사후 대응이 매우 부적절했다며 추후 조사 과정에서 법 위반 사항이 발생할 때 강력 제재하겠다고 했다. SK텔레콤에서 유출된 정보들은 싱가포르로 넘어간 정황까지 확인됐다.

고학수 개인정보위원장은 21일 서울 중구 은행회관 국제회의실에서 열린 개인정보 정책포럼 개회사 및 기자 간담회 자리에서 "이번 SK텔레콤 고객정보 유출사고는 디지털 전환과 인공지능(AI) 심화 시대에 국민 신뢰를 위협하는 중대한 사건"이라며 "철저하고 엄정한 조사를 통해 사고 원인을 면밀히 규명하고 법 위반 사항에 대해서는 강력 제재할 것"이라고 밝혔다.

SK텔레콤 사태를 다루는 개인정보위 TFT(태스크포스팀)는 고 위원장이 직접 챙기고 있다. 고 위원장은 "개인정보위에 사고 신고가 접수된 4월22일부터 개인정보위는 IMSI(가입자 식별키) 및 이에 해당하는 인증키 등 25종의 정보가 너무나도 당연히 '개인정보'에 해당한다고 판단하고 일처리를 해왔다"며 "이름, 생년월일, 주소 등 238종의 정보가 들어있는 서버가 악성코드에 감염됐다는 사실도 굉장히 불안한 요소"라고 했다.

이는 SK텔레콤이 이달 2일 개인정보위 의결에 따라 지난 9일 전체 가입자들에게 개인정보 유출통지가 아닌 '개인정보가 유출됐을 가능성'에 대한 통지를 한 것이 부적절하다는 비판이다. 그는 "SK텔레콤의 조치는 개인정보법이 요구하는 통지 요건에 해당하지 않는, 뒤늦은 데다 부실한 통지에 불과해 개인정보위도 이를 지적하는 공문을 보냈다"며 "통지 미흡 자체를 별도로 보지는 않지만 전체 상황이 종료되고 제재 처분을 내리는 시점에 (통지 미흡 사실을) 고려할 것"이라고 했다.

또 "당초 알려졌던 BPF도어 계열 악성코드 외에도 웹셸 악성코드가 설치된 점을 3년이 되도록 몰랐다는 것은 이번 문제의 심각성을 방증한다"고 지적했다.

아울러 고 위원장은 "정확한 해킹 배후와 원인을 파악하기는 어렵지만 이번 사안은 HSS(홈가입자 서버)에 있던 정보가 WCDR(과금정보 관리서버)을 통해 싱가포르 IP(인터넷주소)로 넘어간 흔적이 있었다"며 "이 IP 주소가 누구의 주소인지, 이 주소를 누가 통제하는지에 대해선 파악이 쉽지 않은 상태다. 국제 공조도 필요하고 시간이 더 걸릴 것"이라고 했다. SK텔레콤에 부과될 과징금 규모에 대해서도 "과징금 산정은 마지막 단계에 가서야 이뤄질 것"이라며 "지금 시점에서는 (과징금 규모를) 가늠하기 어렵다"고 했다.

개인정보위는 이날 '개인정보 유·노출 사고의 최근 경향과 대응 방향'이라는 주제 발표를 통해 올해 1~4월 개인정보 유출 규모가 약 3600만건으로 지난해 연간 규모(1377만건)의 2.6배 수준으로 늘었다고 했다. SK텔레콤 사태와 관련한 약 2500만건에 이와 무관한 1100만건이 더해진 규모다. SK텔레콤의 2500만건은 실제 유출 여부가 아니라 개인정보 유출 가능성에 대해 회사 측이 고객들에게 전달한 건수를 기준으로 집계했다.

개인정보위는 공공기관과 민간기업들이 △취급 중인 개인정보 현황 파악 및 관리체계 수립 △개인정보 탐지·암호화 솔루션 구매·적용 등 관리·감독 및 업무절차 개선 △개인정보 처리 시스템 전반에 대한 취약점 점검 △처리 시스템에 대한 접근 권한 관리 강화 및 비인가 접근 차단 등 조치를 취해야 한다고 강조했다.

이와 함께 개인정보위는 'SK텔레콤 대규모 개인정보 유출 계기 개인정보 안전관리 체계 강화방안'이라는 주제 발표를 통해 개인정보를 다수(예시 약 100만명) 처리하고 대국민 영향도가 큰 대규모 개인정보 처리자(기업·기관)에 대해 △개인정보 전주기에 걸친 점검과 이상 탐지 및 암호화 적용 확대 등 즉각적·기술적 조치 사항 △개인정보보호 분야 투자 최소 기준 명확화 및 CEO(최고 경영자) CPO 중심 내부 통제 강화 등 상시적·전사적 내부 통제 강화 △정보주체 권리 구제 현실화 등 3가지 정책을 적용하는 것을 추진하겠다고 밝혔다.

또 △전화번호, 이름, 상세 주소 등 법정 의무 암호화 대상 외 개인정보에 암호화를 적용해 보호를 강화한 기업·기관에서 개인정보 유출 사고가 발생할 때 과징금을 감경하는 등 인센티브를 제공하고 △다크웹 유통정보를 분석해 2차 피해 예방을 강화하며 △공공기관에 적용되는 개인정보 영향평가를 민간에서도 자율적으로 수행할 수 있는 여건을 조성하는 등 방안도 개인정보위 추진 과제로 제시했다.

황국상 기자 gshwang@mt.co.kr

키워드림론 최대 4배 주식자금 & 고금리 대환상품 한도 오픈! (1644-6960)

[무료운세] 믿어야 돼 말아야 돼? 종목매수전에 믿고보는 "오늘의 운세"

[파워 인터뷰]

프린트하기 닫기

www.38.co.kr