[한국미래일보=정나윤 대학생 기자] 지난 4월 SK텔레콤(이하 ‘SKT’)의 대규모 유심 정보 유출 사태에 연이어 KT, LG유플러스까지 해킹 문제로 여론의 뭇매를 맞고 있다.

KT는 9월 경기 광명시를 중심으로 일어난 동시다발적인 소액결제 피해의 뚜렷한 원인을 찾지 못하고 있다. SKT 유출 사고 당시 통신사 변경 혜택을 강조하며 가장 공격적인 홍보에 나섰던 때와 상황이 역전된 셈이다. 

LG유플러스는 KT와 함께 북한 해커 조직 ‘김수키(Kimsuky)’가 내·외부망에 침투했다는 의혹을 받는다. 미국 보안 전문지 프랙(Phrack)의 보고서에 따르면 김수키의 서버에서 이들의 데이터로 추정되는 자료가 나왔다. 그러나 이들은 해킹 정황이 없다는 주장을 유지하고 있다.

일러스트=ChatGPT

통신 3사의 「개인정보 보호법」 준수 실태

「개인정보 보호법」 제29조는 이동통신사와 같은 개인정보처리자가 기술적·관리적 조치를 통해 안전조치 의무를 다해야 한다고 규정한다. 개인정보보호위원회(위원장 고학수, 이하 ‘개인정보위’)는 같은 법 시행령에서 자격을 위임받아 「개인정보의 안전성 확보조치 기준」(이하 ‘안전조치 기준’)을 관리한다. 

8월 28일 SK텔레콤 개인정보 유출사고 제재처분을 의결한 개인정보위는 보도 자료를 통해 SKT의 「개인정보 보호법」 주요 위반 사항을 나열했다. SKT는 △접근통제 조치 소홀(안전조치 기준 제6조) △접근권한 관리 소홀(안전조치 기준 제5조) △보안 업데이트 미조치(안전조치 기준 제9조) △유심 인증키 비암호화(안전조치 기준 제7조) 등 안전조치 의무를 위반했다. 

더불어 개인정보 보호 책임자를 IT 영역과 통신 인프라 영역 중 한 곳에만 두었으며(「개인정보 보호법」 제31조) 72시간 내 개인정보 유출 사실을 통지하지 않았다(「개인정보 보호법 시행령」 제39조). SKT는 5월에서야 "유출 가능성이 있다"라고만 알린 후 약 석 달 뒤 유출 확정을 통지했다.

‘SK텔레콤 개인정보 유출사고’ 제재처분 의결한 개인정보위. 출처=개인정보보호위원회 홈페이지

KT는 올해 3월 고객 개인정보를 해외로 동의 없이 이전하여 240만 원의 과태료를 냈다. 이는 「개인정보 보호법」 제28조의8을 위반한 행위로, 이심(eSIM) 서비스를 해외 업체에 위탁하며 발생한 것으로 드러났다. 

2023년, 개인정보위는 약 30만 명의 가입자 정보를 유출한 LG 유플러스에 과징금 68억 원을 부과하기도 했다. 유출 시점은 2018년부터인 것으로 밝혀졌으며, 기술 지원이 중단된 소프트웨어를 사용하거나 테스트용 고객 데이터를 삭제하지 않는 등 「개인정보 보호법」을 다수 위반했다.

정보통신망법 허점으로 조사 어려운 KT·LG유플러스

「개인정보 보호법」 외에도 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 ‘정보통신망법’)이 정보통신 서비스 제공자의 개인정보 관련 의무를 다룬다. 하지만 KT와 LG유플러스의 경우 관련법 준수 실태조차 파악하기 어렵다. 

현행 정보통신망법 제48조의3에 따르면 서비스 제공자가 유출을 인지하고 직접 신고하지 않는 이상 당국 개입이 어렵다. 인증키 암호화 여부나 사용자 데이터 관리 현황 등을 직접 조사하려면 과학기술정보통신부(이하 ‘과기부’)와 한국인터넷진흥원(KISA)으로 구성된 ‘민관합동조사단’이 나서야 하는데, 통신사가 문제를 키우지 않기 위해 자체 해결하는 것이 업계 관행이다.

배경훈 과기부 장관은 12일 기자 간담회에서 정보통신망법 개정 필요성을 언급했다. 민관합동조사단이 없는 상황에서 개인정보위는 11일 KT로부터 무단 소액결제 사건 관련 개인정보 유출 신고를 접수해 조사에 나섰다. 부정적 여론이 확산하자 하루 만에 태도를 바꾸어 유출을 인정하고 자진 신고한 것이다.

반면 LG유플러스는 자사 서버 관리를 맡은 외주 업체 시큐어키가 7월 31일 KISA에 시스템 해킹을 신고했음에도 자체 조사 결과 유출 흔적이 없다고 단정지었다. KISA는 7월 19일 한 차례 LG유플러스 측에 자진 신고를 권유한 바 있다. 

11일 KT 광화문지사를 방문한 배경훈 과기부 장관. 출처=과학기술정보통신부 홈페이지