1300억대 SKT 유심 해킹 사고 과징금…개보위, 어떻게 산정했나

작성일 08-28

<div id="layerTranslateNotice" style="display:none;"></div> 개보위, 주요 쟁점 사안 정리 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="8U7RR6CnG7">
 <figure class="figure_frm origin_fig" contents-hash="f99ee55b83b06b492ace9a9dbbec07e1147b627b3955d4d3cf6b58b0e6129a03" dmcf-pid="6mOttHMUZu" dmcf-ptype="figure">
 <img alt="고학수 개인정보보호위원회 위원장/사진=뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202508/28/moneytoday/20250828120225051kiah.jpg" data-org-width="1200" dmcf-mid="fp8jjLXDGq" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202508/28/moneytoday/20250828120225051kiah.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 고학수 개인정보보호위원회 위원장/사진=뉴스1
 </figcaption>
 </figure>
 개인정보보호위원회(이하 개보위)는 28일 SK텔레콤 유심 해킹 사고와 관련해 안전조치 의무 위반 및 유출 통지 위반으로 과징금 1347억9100만원, 과태료 960만원을 부과했다. 
 그간 개보위가 부과한 과징금을 통틀어 역대 최대 규모다. SKT와 동일하게 개인정보 유출로 최대 과징금을 받은 것은 지난해 카카오로, 당시 과징금 규모는 151억원이었다. 금액 규모로는 2022년 9월 구글과 메타에 각각 692억원, 308억원 부과한 것이 최대다. 구글과 메타는 경제적 이익 취득을 위해 무단 개인정보 수집을 한 건이었다. 
 SKT가 역대 최대 규모 과징금을 받은 것은 개인정보보호법이 바뀐 이후 처벌 대상이 된 탓이다. 개보위는 지난해 개인정보보호법 위반 시, 관련 사업 전체 매출액의 3%까지 과징금을 매길 수 있도록 법을 개정했다. 이에 SKT는 2022~2024년 별도 기준 평균 매출(12조5926억원)의 3%를 적용받아 최대 3778억원의 과징금을 부과받을 것이라는 우려가 있었다. 
 개보위는 SKT 과징금에 대해 전체 이동통신서비스 매출액을 기준으로 산정했다고 밝혔다. 전체 연결 매출액 중 이동통신서비스 매출액만을 기준으로 두고, 여기서 사안의 중대성을 4단계로 분류해 책정한다. 
 SKT는 △다수의 안전조치의무 위반 사항이 유출사고의 직접적 원인이 된 점 △가입자 인증에 필요한 핵심 정보(유심 인증키 등)가 유출된 점 △약 2300만 명의 대규모 개인정보가 유출된 점 등을 고려해 '매우 중대한 위반행위'로 판단했다. 여기에 SKT의 위반행위 기간이 장기간(2년 이상) 지속된 점 등을 고려해 일부 가중했다. 
 감경요소는 사고 관련 위반행위를 시정한 점, 유심보호서비스 등 이용자의 피해 회복을 위해 노력한 점, 기타 개인정보 보호 노력 등을 고려하여 일부 감경 적용했다고 밝혔다. 
 개보위는 이밖에 주요 쟁점 몇가지를 정리했다. 다음은 쟁점을 질문과 답변 형식으로 정리했다. 
 -SKT 해킹 사고 조사를 위해 꾸린 집중조사 TF(태스크포스) 구성은? ▶는 신고 당일인 4월22일부터 약 3개월 간 운영됐다. 개인정보위 및 KISA 조사관 10인 이상이 전담으로 약 3개월 간 현장에 상주하며, 조사를 밀도있게 진행했다. TF는 개인정보위 조사관(조사 경력자) 4명, 송무팀(변호사·회계사) 3명, (KISA) 조사관(기술지원) 7명으로 구성됐다. 이외 매출액 분석 및 법률적·기술적 사항 검토에 개인정보위 변호사, 회계사 및 외부 전문가 다수 투입됐다. 
 - 유출된 정보(휴대전화번호, IMSI, 유심 인증키)가 개인정보에 해당하는가? ▶ 이론적으로 개인정보라는 휴대전화번호는 일반적으로 특정 개인에게 귀속되는 정보로, 모바일 시대 개인을 식별하고 연결하는 핵심수단으로 이용되는 중요한 개인정보에 해당한다. 
 이번에 노출된 IMSI 및 유심 인증키는 특정 개인을 식별하기 위해 SKT가 이용자 단말에 부여하는 고유의 값으로, SKT는 해당 정보를 가입자 인증 및 서비스 권한 확인 등에 활용하고 있다. 또 유출된 정보 외에 성명, 주소, 서비스 이용기록 등의 이용자 개인정보를 함께 보유·관리하여 이를 언제든 쉽게 서로 결합(집합물 형태, 패키지)해 개인을 알아볼 수 있기 때문에 개인정보로 판단했다. 
 -유심 인증키가 보호법상 암호화 대상인 인증정보에 해당되는 지 여부? ▶유심 인증키는 통신 네트워크 연결 시 단말기 소유자의 정당성을 인증하는데 사용돼 보호법상 '인증정보'로 판단된다. 
 SKT 이용자가 이동통신망 접속을 요청할 때, HSS 등의 시스템과 이용자 단말에 각각 저장된 IMSI를 통해 인증을 요청한 가입자를 식별하고 유심 인증키(Ki)로 인증값을 비교하는 방법으로 상호 인증한다. 
 인증이 완료된 단말을 소유한 이용자에게만 피심인의 이동통신 서비스를 제공하고 있으므로, "개인정보처리시스템에 접속을 요청하는 자의 신원을 검증하는데 사용되는 정보"로 기타 암호화 대상 인증정보에 해당한다. 참고로 KT, LGU+는 국제 권고에 따라 각각 2014년 및 2011년부터 유심 인증키를 암호화 저장했다. 
 -SKT의 유출 통지 지연 관련 세부 사항 ▶SKT는 올해 4월19일 23시40분 개인정보 유출 사실을 인지하고, 4월25일에는 유출된 정보의 규모 등을 확인했다. 그러나 민관합동조사단(과기정통부)의 조사가 진행 중인 이유로 5월9일에서야 유출 '가능성' 통지를 실시하고, 민관합동 조사단의 조사 결과가 발표(7월4일)된 이후인 7월27일 개인정보 유출통지를 진행했다. 
 이에 개인정보위는 SKT가 정당한 사유 없이 유출 통지를 지연하여, 정보주체의 2차 피해 예방을 어렵게 한 것으로 보아, 통지 의무를 위반한 것으로 판단한다. 개인정보보호법상 개인정보 유출 사실을 알게 된 때로부터 72시간 내 유출 통지 의무가 있다. 국회에서 관련 법 개정 논의가 있어, 위원회도 적극 참여 중이다.
 -이번 처분에서의 시정명령·개선권고 내용 ▶위원회는 SKT가 국민 생활에 밀접한 이동통신 서비스를 제공하는 기간통신사업자로서 개인정보보호 강화 및 유출 사고 재발 방지를 위해 다음 사항들을 시정·개선하도록 함. CPO(개인정보보호책임자)의 실질적 역할 보장, 위·수탁 관리·감독 철저, 개인정보 보호 관련 사회적 책임 강화 등을 포함해 위원회와 협의해 재발방지 대책 수립·보고하도록 시정명령 및 사고 발생 이동통신 네트워크·시스템에 대한 ISMS-P 인증을 취득하도록 개선권고했다. ( 예시 : 전사 관할, 이사회에 정기 보고 등) 
 -개인정보 안전관리 체계 강화를 위한 대책 ▶개인정보위는 유사사례가 발생하지 않도록 대규모 개인정보 처리자에 대한 관리·감독을 더욱 강화하고, 투자 확대 유도에 초첨을 맞춰 개인정보 안전관리 체계 강화방안을 마련하여 9월 초 발표할 예정이다. 
 -이번 사고 관련 개인정보위에 접수된 분쟁조정 신청 현황과 향후 일정 ▶이번 사건 관련 SKT를 상대로 개인정보위에 접수된 집단 분쟁조정 신청은 3건으로 약 2025여명이 참여하고 있으며, 개인분쟁조정 신청은 약 610여 건(8월27일 기준)이 접수됐다. 다만, 조사 진행 중인 사안으로 분쟁조정절차가 정지된 상태였으나, 처분 절차가 완료되면 중단된 절차를 개시할 예정이다. 
 김소연 기자 nicksy@mt.co.kr
 </section> 
 </div> 
 Copyright © 머니투데이 &amp; mt.co.kr. 무단 전재 및 재배포, AI학습 이용 금지.

이전

"지진 못 피해도 탈출구는 있어야죠" 대통령상 받은 고교생

08-28
다음

정부, 5G·LTE 통신품질 미흡 재점검…KTX·SRT 경부·경전선 개선 저조

08-28

등록된 댓글이 없습니다.

로그인한 회원만 댓글 등록이 가능합니다.

먹튀폴리스

1300억대 SKT 유심 해킹 사고 과징금…개보위, 어떻게 산정했나

멤버랭킹

관련자료

멤버랭킹