개인정보보호위원회는 SK텔레콤(이하 SKT)에 대해 개인정보 보호 법규 위반을 이유로 과징금 1347억9100만원과 과태료 960만원을 부과했다고 28일 밝혔다.

이는 개인정보위 출범 이후 최대 규모의 제재다.

이번 사태는 단순한 해킹 사고가 아니라, 보안 기본 원칙을 지키지 않은 운영 관리 실패가 핵심 원인으로 꼽힌다.

▲보안 침해 경위 및 주요 내용

개인정보위에 따르면 이번 해킹사고로 SKT의 LTE·5G 서비스 전체 이용자 2324만4649명(알뜰폰 포함·중복 제거)의 개인 정보가 유출됐다.

유출된 정보는 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki·OPc) 등 25종에 이른다.

휴대전화번호를 기준으로 한 유출 규모는 약 2696만건으로 파악됐으나, 법인·공공회선·다회선 등을 제외한 수가 이용자 수로 산정됐다.

이번 해킹은 2021년 8월 처음 발생했으며, 해커는 SKT 내부망에 침입해 악성 프로그램을 설치한 것으로 조사됐다.

이후 2022년 6월 통합고객인증시스템(ICAS)에도 악성 프로그램이 추가 설치됐다.

2025년 4월 18일, 해커는 홈가입자서버(HSS)의 데이터베이스(DB)에 저장된 개인정보 9.82GB를 외부로 유출했다.

▲사건의 본질은 ‘해킹’보다 ‘관리 부실’

개인정보위 조사 결과에 따르면 해커는 2021년 이미 SKT 내부망에 침투했으나, SKT는 2년 이상 이를 방치했다.

방화벽 미비, 서버 계정관리 부실, 암호화 미실시, 악성코드 탐지 시스템 미운영 등 기초적인 보안 관리 전반이 허술했다.

특히 유심 인증키(Ki)와 같은 핵심 인증정보를 암호화하지 않은 채 저장해 둔 점은 보안업계가 보기엔 상식 밖이라는 평가다.

이 정보는 해커가 이용자의 USIM을 복제하는 데 악용될 수 있다는 점에서 우려되는 대목이다.

▲ 반복된 경고 무시…늑장 대응이 피해 키워

더 큰 문제는 경고 신호를 알면서도 무시했다는 점이다.

2016년 발견된 운영체제 취약점(DirtyCow)에 대한 보안 패치가 있었음에도, SKT는 이를 적용하지 않았다.

2022년 해커의 서버 침투 사실을 확인했지만, 추가 점검이나 차단 조치를 하지 않았다.

개인정보유출 통보 의무(72시간)를 어기고, 실제 확정 통보는 사고 발생 3개월 뒤에야 이뤄졌다.

이런 ‘소극적 대응’은 단순 실수가 아니라 조직문화와 거버넌스 문제로 해석된다.

보안 사고를 경제적 위험보다 "비용 부담"으로 바라본 태도가 사고 확산을 불렀다는 지적이다.

▲ ‘CPO 부재’…보안 거버넌스의 구조적 결함

이번 사태는 개인정보보호 책임자(CPO) 제도의 한계도 드러냈다.

SKT의 CPO는 주로 IT 서비스 영역만 관리했고, 실제 해킹이 발생한 ‘인프라 영역’은 제대로 파악하지 못했다.

즉, 개인정보 보호 총괄책임자가 '사실상 전사적 개인정보 관리'는 하지 않았던 것이다.

전문가들은 이를 두고 CPO 제도가 형식적이었음을 보여주는 사례라고 지적한다.

▲"보안은 비용이 아닌 투자"

고학수 개인정보위원장은 "이번 사건을 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력의 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바란다"라고 강조했다.

고학수 개인정보위원장이 강조했듯, 이번 제재는 단순히 SKT 한 기업의 문제가 아니라, 대규모 개인정보 처리 사업자 전체에 대한 경고로 해석된다.

개인정보를 대규모로 다루는 금융·의료·통신·플랫폼 기업들은 보안을 ‘필수 투자’로 전환해야 한다.

관리망과 인터넷망을 물리적으로 분리하고, 핵심 인증정보는 반드시 암호화해야 한다.

CPO 권한을 형식이 아닌 실질적인 전사 총괄 구조로 재편하는 거버넌스 전환이 필요하다.

▲SKT의 남은 과제

SKT는 "경영활동 전반에서 개인정보 보호를 핵심 가치로 삼겠다"라며 재발 방지를 약속했다.

개인 정보위는 SKT에 ▶이동통신 서비스 전반의 개인정보 처리 현황 파악 및 보안 강화, ▶CPO의 역할을 회사 전반으로 확대하도록 조직 정비, ▶향후 유사사례 재발 방지를 위한 안전관리 체계 정비 등에 대해 시정 조치를 명령했다.

개인정보위는 유사사례가 발생하지 않도록 대규모 개인정보 처리자에 대한 관리·감독을 더욱 강화하고, 개인정보 안전관리 체계 강화방안을 마련하여 9월 초 발표할 예정이다.

이번 SKT 과징금 부과는 기업의 허술한 개인정보 관리와 무책임한 대응이 얼마나 큰 사회적 비용을 초래하는지 보여주는 사례다.