SKT 역대급 과징금 나올까…개보위, LGU+ 차원 다른 제재 예고(종합)

[서울=뉴시스]송혜리 기자 = 개인정보보호위원회가 SK텔레콤 침해사고와 관련해 신속하게 조사를 마무리하겠다는 방침을 밝혔다. 이번 사고는 가입자 전화번호, 가입자식별키(IMSI) 등 정보가 저장된 메인 서버가 해킹당한 만큼, 역대급 과징금 부과로 이어질 가능성도 제기되고 있다.

최장혁 개인정보위 부위원장은  29일 서울 청사에서 정례브리핑을 열고, 최근 발생한 SK텔레콤 해킹사고 조사 내용 등을 공유했다.

위원회는 지난 22일 SK텔레콤으로부터 고객 개인정보 유출 신고를 접수 받고 즉시 조사에 착수했다. SK텔레콤은 자사 시스템 내 보관 중이던 고객 유심(USIM) 관련 정보가 외부로 유출된 정황을 인지하고, 개인정보보호법 상 신고 의무에 따라 자진 신고했다.

현재 개인정보위는 유심에 담긴 개인정보와 메인 서버에 대한 안전조치 여부를 중점적으로 조사하고 있다. 위원회가 현재까지 파악한 바에 따르면, 메인 서버에는 약 5단계의 방어벽이 구축돼 있었으며, 해커가 이를 로그인 등을 통해 어떻게 통과했는지 단계별로 조사 중이다.

최장혁 부위원장은 "위원회는 사건 발생 당일 즉시 조사에 착수했으며, 사내 변호사와 숙련된 조사 인력을 투입하는 한편, 외부 전문가들과 함께 TF를 구성해 최대한 신속하게 조사를 마무리할 계획"이라고 밝혔다.

최장혁 부위원장은 SK텔레콤 해킹건은 법 위반의 심각성뿐만 아니라 법적 책임 범위와 과징금 규모에서도 LG유플러스 사례보다 훨씬 엄중하게 평가될 가능성이 있다고 설명했다. LG유플러스는 부가서비스를 통한 개인정보 유출이었던 반면, SK텔레콤은 메인 서버 해킹으로 인해 발생한 사건으로 중대성 면에서 차이가 있다는 말이다.

지난 2023년 개인정보위는 29만7000여건의 고객 정보가 유출된 LG유플러스에 과징금 68억원과 과태료 2700만원을 각각 부과하고, 재발 방지를 위한 시정조치를 내린 바 있다.  이들 정보가 유출된 시점은 2018년 6월경으로, LG유플러스가 일부 부가 서비스를 제공하는 과정에서 고객인증과 부가서비스 가입·해지 기능을 제공하는 고객인증시스템(CAS)의 데이터가 집중적으로 유출된 것으로 확인됐다.

최장혁 부위원장은 "당시 LG유플러스는 개인정보보호법 개정 이전 상황이었으며, 현재와는 법적 기준이 다르다"면서 "현재는 전체 매출액의 3%까지 과징금이 부과될 수 있는 상태"라고 말했다.

개인정보보호법상 72시간 이내 신고 의무 준수 여부도 과징금 산정에 관건이 될 전망이다.

개인정보위에 따르면, SK텔레콤은 22일 오전 10시에 개인정보 유출 정황을 신고했으며, 이 같은 사실을 19일 오후 11시 40분에 최초 확인했다고 진술했다. 반면 SK텔레콤은 한국인터넷진흥원(KISA)에는 해킹 정황을 18일 오후 11시 20분에 최초 확인했다고 신고했다.

신고 기준 시점에 따라 개인정보보호법상 72시간 이내 신고 준수 여부가 달라진다. 위원회에 신고한 기준(19일 오후 11시 40분)으로는 58시간 20분이 경과해 법 위반이 아니지만, KISA에 신고한 기준(18일 오후 11시 20분)으로는 82시간 40분이 경과해 72시간을 초과, 법 위반에 해당할 수 있다.

최장혁 부위원장은 "유출인지 여부 및 정확한 시점 차이는 조사 결과에 따라 판단될 예정"이라고 말했다. 이어 "보호법상 신고는 72시간 이내에 완료하면 되기 때문에, 조사 결과에 따라 책임 범위와 조치 방향이 결정될 예정"이라고 말했다.


◎공감언론 뉴시스 [email protected]