최악 해킹 사고로 전체 이용자 2천300만여명의 개인 정보를 털린 SK텔레콤(이하 SKT)에 개인정보보호위원회가 역대 최대 과징금 1천348억원을 부과했습니다.

개인정보위는 지난 27일 전체회의를 열고 개인정보보호 법규를 위반한 SKT에 과징금 1천347억9천100만원과 과태료 960만원을 각각 부과했다고 28일 밝혔습니다.

과징금 규모는 개인정보위가 2020년 출범 이후 부과한 과징금 처분 중 가장 큰 액수입니다.

개인정보위에 따르면 이번 해킹사고로 SKT의 LTE·5G 서비스 전체 이용자 2천324만4천649명(알뜰폰 포함·중복 제거)의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki·OPc) 등 25종의 정보가 유출된 것으로 확인됐습니다.

휴대전화번호를 기준으로 한 유출 규모는 약 2천696만건으로 파악됐으나, 법인·공공회선·다회선 등을 제외한 수가 이용자 수로 산정됐습니다.

조사결과 해커는 2021년 8월 SKT 내부망에 처음 침투해 다수 서버에 악성 프로그램을 설치했고 2022년 6월에는 통합고객인증시스템(ICAS) 내에도 악성프로그램을 설치해 추가 거점을 확보했습니다.

이후 해커는 올해 4월 18일 홈가입자서버(HSS) 데이터베이스(DB)에 저장된 이용자 개인정보 9.82GB를 외부로 유출했습니다.

이용자 전체의 개인정보가 외부로 빠져나간 데에는 SKT가 기본적인 보안 조치를 제대로 하지 않은 데다 관리에도 소홀했던 게 겹친 데 따른 것으로 개인정보위는 판단했습니다.

SKT는 인터넷·관리·코어·사내망을 동일한 네트워크로 연결해 운영하면서 국내외 인터넷망에서 SKT 내부 관리망 서버로 접근을 제한 없이 허용했고 또 침입탐지 시스템의 이상 행위 로그도 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치를 소홀히 한 것으로 드러났습니다.

특히 SKT는 2022년 2월 해커가 HSS 서버에 접속한 사실을 확인하고도 비정상 통신 여부나 추가 악성프로그램 설치 여부, 접근통제 정책의 적절성 등을 점검하지 않아 유출 사고를 막을 기회를 놓쳤다는 게 개보위 판단입니다.

개인정보위는 SKT에 과징금·과태료 제재와 함께 유출 사고 재발 방지를 위해 이동통신 서비스 전반의 개인정보 처리 현황을 면밀히 파악해 안전조치를 강화하고, CPO가 회사 전반의 개인정보 처리 업무를 총괄할 수 있도록 거버넌스 체계를 정비하라고 시정명령을 했습니다.



연합뉴스TV 기사문의 및 제보 : 카톡/라인 jebo23

임광빈(june80@yna.co.kr)