개인정보위, SKT에 역대 최대 규모 과징금 ‘1348억원’ 철퇴

2300만명 개인정보 유출·관리 소홀 지적
SKT “소명 반영 안 돼 유감, 의결서 검토 후 입장 정리”

개인정보보호위원회(위원장 고학수, 이하 개인정보위)가 SK텔레콤(대표 유영상, 이하 SKT)의 대규모 개인정보 유출 사고에 대해 과징금 1347억9100만원과 과태료 960만원을 부과했다. 개인정보위는 이번 처분이 “단일 사업자 기준 역대 최대 규모”라며, 이동통신 핵심 네트워크·시스템 관리 소홀과 유출 통지 지연 등 중대한 위반 행위가 확인됐다고 밝혔다.

이번 제재는 27일 열린 개인정보위 제18회 전체회의에서 최종 의결됐다. 개인정보위는 네 차례의 사전 검토회의를 거쳐 결론을 도출했으며, SKT도 회의에 출석해 소명과 향후 개선 계획을 설명했다.

개인정보위는 지난 4월 SKT가 비정상적 데이터 전송 사실을 인지해 신고한 직후 한국인터넷진흥원(KISA)과 함께 집중조사 태스크포스(TF)를 꾸려 3개월간 조사를 벌였다. 조사 결과 LTE·5G 전체 이용자 약 2324만명의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki·OPc) 등 25종의 개인정보가 유출된 사실이 드러났다.

고학수 위원장은 브리핑에서 “2300만명 넘는 국민의 핵심 디지털 정보가 대규모로 유출된 매우 중대한 사안”이라며 “해커가 내부망에 침투한 이후 통신 인프라 영역에 대한 관리·감독이 허술했고, 정보주체 보호를 위한 유출 통지도 지연됐다”고 지적했다.

조사에 따르면, 해커는 2021년 8월 SKT 내부망에 침투해 다수 서버에 악성프로그램을 설치했고, 2022년 6월에는 통합고객인증시스템(ICAS)에 추가 거점을 확보했다. 이어 2025년 4월 18일 홈가입자서버(HSS)에 저장된 개인정보 9.82GB를 외부로 빼돌린 것으로 드러났다.

보안 조치 미비와 관리 소홀이 주 원인

개인정보위와 한국인터넷진흥원(KISA)는 이번 사고가 SKT의 기본적인 보안 조치 미비와 관리 소홀에서 비롯됐다고 결론 내렸다. 조사 과정에서 드러난 대표적인 위반 사례는 네 가지다.

▲ 망 분리 미흡 : SKT는 인터넷망과 내부망을 구분하지 않고 동일한 네트워크로 운영해 외부 침입에 쉽게 노출됐다. 특히 관리망 서버가 불필요하게 HSS 서버와 연결돼 있어, 해커가 인터넷망에서 곧바로 HSS 데이터베이스(DB)에 접근할 수 있는 구조였다.

▲ 계정정보 관리 부실 : 약 2365대 서버의 계정정보(ID·비밀번호 4899개)가 암호화 없이 평문 파일로 저장돼 있었으며, 일부 시스템은 비밀번호 입력 절차조차 없이 개인정보를 조회할 수 있는 상태였다. 이로 인해 해커가 손쉽게 계정을 확보해 악성프로그램을 설치하고 DB를 열람할 수 있었다.

▲ 보안 업데이트 미적용 : 해커가 침투에 활용한 DirtyCow(2016년 보고된 OS 취약점)는 수년 전 이미 패치가 공개됐지만, SKT는 이를 장기간 적용하지 않았다. 백신 프로그램도 설치하지 않아 해당 취약점 실행을 차단할 최소한의 조치조차 이뤄지지 않았다.

▲ 유심 인증키 암호화 미비 : 이동통신 서비스 제공에 필수적인 유심 인증키 2600만건이 암호화되지 않은 채 평문으로 저장돼 있었다. SKT는 타 통신사가 이미 10년 전부터 인증키를 암호화해온 사실을 인지하고도 이를 방치해 유출 피해를 예방하지 못했다.

남석 개인정보위 조사조정국장은 “타 통신사가 유심 인증키를 암호화해온 것을 알면서도 SKT 조치를 하지 않아 피해를 막지 못했다”며 “침입탐지 로그도 확인하지 않아 해커 활동을 장기간 방치했다”고 설명했다.

또한, SKT는 4월 19일 유출 사실을 인지하고도 법령상 72시간 내 통지 의무를 지키지 않았다. 5월 9일에서야 ‘유출 가능성’을, 7월 28일에서야 ‘유출 확정’을 통지해 이용자 혼란을 키웠다고 개인정보위는 지적했다.

‘재발 방지 명령·제도 개선 추진‘ 주문

개인정보위는 SKT에 ▲재발 방지 대책 수립·보고 ▲최고개인정보보호책임자(CPO)의 실질적 권한 보장 ▲이동통신 네트워크·시스템에 대한 ISMS-P 인증 취득 등을 명령했다. 고 위원장은 “CPO와 전담조직이 기업 경영에서 차지하는 역할을 강화해야 한다”고 강조했다.

과징금 산정 배경에 대해서도 구체적 설명이 이어졌다. 고 위원장은 “위반 기간이 3년 이상 지속됐고, 다수 항목의 안전조치 의무를 위반해 ‘매우 중대한 위반’으로 판단했다”며 “전체 매출에서 관련 없는 매출을 제외한 뒤 중대성·기간·감경 사유를 고려해 결정했다”고 밝혔다.

개인정보위는 이번 사건을 단순한 제재를 넘어 개인정보보호 체계를 강화하는 계기로 삼겠다는 입장이다. 고 위원장은 “대규모 개인정보 처리자가 예산과 인력을 단순 비용이 아니라 필수 투자로 인식해야 한다”며 “법규상 최소한의 조치만 하는 관행을 깨고, 현장에서 추가적 보호 노력을 할 수 있도록 인센티브를 마련하겠다”고 말했다.

개인정보위는 오는 9월 ‘개인정보 안전관리체계 강화 종합대책’을 발표해 대규모 개인정보 처리자의 보안 투자를 확대하고 관리·감독을 강화할 계획이다. 현재 집단분쟁조정 3건(약 2025명), 개인 분쟁조정 610여 건이 접수돼 있으며 제재 절차 종료와 함께 분쟁조정 절차가 본격 개시된다.

이번 과징금은 개인정보보호 분야에서 역대 최대 규모다. 2022년 구글(약 692억원), 메타(약 308억원)에 부과된 과징금을 합친 1000억원보다도 크다. 고 위원장은 “2300만명 개인정보와 유심 인증키가 유출된 사안은 국민 절반 이상에 영향을 미친 중대 사건”이라며 “다른 기업에도 강력한 경각심을 줄 것”이라고 강조했다.

한편, SKT 측은 개인정보위의 제재 발표에 대해 “조사 및 의결 과정에서 당사 조치 사항과 입장을 충분히 소명했음에도 결과에 반영되지 않아 유감”이라며 “향후 의결서 수령 후에 내용을 면밀히 검토하여 입장을 정할 예정”이라고 밝혔다.

글. 바이라인네트워크
곽중희 기자 god8889@byline.network