개보위, SKT에 과징금 1348억·과태료 960만원 부과 '역대 최대'

[아이뉴스24 안세준 기자] SK텔레콤이 유심 해킹 사고와 관련해 과징금 1347억9100만원과 과태료 960만원을 부과받았다. 개별 기업에 대한 과징금 가운데 역대 최대 규모다.

개인정보보호위원회(위원장 고학수)는 27일 제18회 전체회의를 열고 개인정보 보호 법규를 위반한 SK텔레콤에 대해 이같은 제재안을 의결했다. 개인정보위는 과징금 1347억9100만원을 부과하는 한편, 정보 주체에 대한 유출 통지를 지연해 신속한 피해 확산방지를 소홀히 한 행위에 대해 과태료 960만원을 부과하기로 결정했다.

유출 사고 재발 방지를 위해 이동통신 서비스 전반 개인정보 처리 현황을 면밀히 파악해 안전조치를 강화하고, 개인정보 보호책임자(CPO)가 회사 전반의 개인정보 처리 업무를 총괄할 수 있도록 거버넌스 체계를 정비할 것을 시정명령했다.

또한 현재 일부 고객관리시스템(T World 등)에 대해서만 획득한 개인정보보호관리체계(ISMS-P) 인증 범위를 통신 이동통신 네트워크 시스템으로 확대해 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고하도록 개선 권고했다.

개인정보 보호책임자 지정·업무 수행 소홀⋯유출 통지도 지연돼

앞서 개보위는 올해 4월22일 SK텔레콤이 비정상적 데이터 외부 전송 사실을 인지해 유출 신고한 데 따라 조사에 착수했다. 조사 결과, SK텔레콤 이동통신 서비스의 핵심 역할을 하는 다수 시스템에 대한 해킹으로 LTE·5G 서비스 전체 이용자 2324만4649명(알뜰폰 포함, 중복 제거) 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki, OPc) 등 25종의 정보가 유출된 것으로 확인됐다.

해커는 2021년 8월 SK텔레콤 내부망에 최초 침투해 다수 서버에 악성 프로그램을 설치했다. 이들은 2022년 6월 ICAS(통합고객인증시스템) 내 악성프로그램을 설치해 추가 거점을 확보했다. 올해 4월18일 HSS(홈가입자서버) DB에 저장된 이용자 개인정보(9.82GB)를 외부로 유출했다.

이 과정에서 SK텔레콤의 보안 조치 미비와 관리 소홀이 있었다고 개보위는 결론을 내렸다. 인터넷과 내부망 사이 보안 운영 환경이 침입에 취약한 상태로 관리·운영돼 왔으며, 침입탐지 시스템 이상행위 로그도 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치를 소홀히 했다는 것이다.

개인정보 유출 통지도 지연됐다. SK텔레콤은 올해 4월19일 경 HSS DB에 저장된 데이터가 외부로 전송된 사실을 확인해 개인정보 유출 사실을 인지하였음에도, 법령에서 정한 72시간 내 유출된 이용자를 대상으로 유출 사실을 통지하지 않았다. 7월28일 들어 유출 확정 통지를 실시하는 등 보호법에서 규정한 의무를 이행하지 않았다는 것이 개보위의 판단이다.

개보위는 이같은 조사 결과를 토대로 유사사례가 발생하지 않도록 대규모 개인정보 처리자에 대한 관리·감독을 강화하고, 개인정보 안전관리 체계 강화방안을 마련해 9월 초 발표할 예정이다.

고학수 개인정보위원장은 "이 사건을 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력의 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바란다"며 "데이터 경제시대 CPO와 전담조직이 기업경영에서 차지하는 역할과 중요성을 제고해 개인정보 보호 체계가 한 단계 강화되는 계기가 돼야 할 것"이라고 말했다.