'복제 불가' 유심 유출로 1兆 날아간 SKT

SK텔레콤이 1400억원 규모의 과징금 폭탄을 맞았다. 모바일사업부 전체 매출의 30%라는 과징금 상한선(약 3600억원)보다 줄어들긴 했지만 이미 올해에만 위약금 면제·통신비 할인 등 소비자 혜택으로 약 8000억원을 지출한 터라 재무구조에 작지 않은 타격이 예상된다. 일각에선 지나친 ‘기업 때리기’라는 비판이 나온다. 범인을 밝혀내지도 못한 상황에서 해킹 피해를 본 기업에만 관리 소홀의 책임을 과도하게 묻는 것 아니냐는 지적이다.

◇개인정보위도 “방지 노력 없었다” 인정

28일 개인정보보호위원회가 과징금 부과 이유로 공개한 SK텔레콤의 ‘과실’은 지난 7월 초 과학기술정보통신부의 발표 내용과 크게 다르지 않다. 휴대전화 번호, 가입자식별번호(IMSI), 유심 인증키(Ki, OPc) 등 25종이 유출됐다는 내용이다. 개인정보위는 SK텔레콤이 약 3년 전 해킹이 발생하기 이전에 이를 미연에 방지할 수 있었음에도 조치를 취하지 않았다는 점을 역대급 과징금의 핵심 이유로 꼽았다.

다만 개인정보위는 이번에 유출된 정보가 식별 가능한 개인정보인지에 대해선 모호한 대답을 내놨다. 고학수 개인정보위원장은 “현재로서는 유심 복제는 불가능하다고 판단했다”며 “SK텔레콤의 비정상인증차단시스템(FDS)과 유심보호서비스가 100% 작동하고 있다고 본다”고 말했다.

SK텔레콤이 유출 정보를 상업적으로 이용하지 않았다는 점도 도마에 올랐다. ‘침해사고’의 주체가 아닌 외부 세력에 의한 ‘유출사고’에 과도하게 과징금을 매긴 것이란 지적이다.

보안업계 관계자는 “과거 맞춤형 광고 활용 등 영리 목적을 가지고 개인정보를 동의 없이 활용한 구글과 메타의 사례보다 SK텔레콤을 더 무겁게 제재하는 건 불합리하다”며 “도둑질을 한 기업보다 당한 기업이 더 많은 과징금을 부과받는 것은 논란의 소지가 있다”고 꼬집었다.

개인정보위는 2022년 9월 구글과 메타가 이용자 동의를 받지 않고 정보를 수집한 뒤 온라인 광고에 활용했다는 점을 들어 개인정보보호법 위반으로 각각 692억4100만원, 308억600만원의 과징금을 부과했다.

◇통신업계 “이제 미봉책은 안 통해”

해외에서도 개인정보 유출로 인해 단일 기업이 1000억원대 과징금을 부과받은 사례는 없다. 미국 통신사 티모바일(T-Mobile)은 개인정보 유출 사고 당시 216억원의 과징금을 부과받았다. AT&T도 같은 사안으로 178억원 수준의 과징금을 맞았다.

현재 개인정보보호법이 재발 방지보다 제재 위주라는 점을 두고서도 ‘아쉽다’는 반응이 나온다. 기업에 회생 불가능한 수준인 치명적 액수의 제재만 강화하는 상황이 반복되면 재발 방지 효과도 미흡하다는 게 업계 시각이다. 한국정보보호산업협회(KISIA)에 따르면 지난해 정보 침해사고를 경험한 기업 가운데 관련 기관에 신고한 비율은 19.6%에 불과하다. 영국은 개인정보 유출 사실의 신속한 보고, 보완 조치 수준에 따라 과징금을 최대 90%까지 감경하고 있다.

SK텔레콤이 행정소송을 통해 이번 결정에 불복할지는 아직 예단하기 어렵다. 복제폰으로 인한 사고 발생 시 이동통신사 등록을 말소하겠다고 할 정도로 정부 기조가 워낙 강경해서다. 통신업계 관계자는 “정부, 경찰청 등과 계속 소통하면서 보이스피싱 및 해킹 예방에 총력을 기울이고 있다”며 “지금은 이전의 방어적인 방식으로는 살아남을 수 없다는 점을 절감해 정부 기조에 맞춰 근본적 대책을 마련해야 한다는 데 인식을 같이하고 있다”고 말했다.

최지희/강경주 기자 mymasaki@hankyung.com