KT 해킹사고 은폐 의혹, ISMS-P 인증 취소 위기…증거인멸 정황 포착

핵심 요약

- 2026년 국감에서 조경태 의원이 KT의 해킹사고 은폐 의혹 제기, 신규 가입 금지 등 제재 검토 - 2026년 8월 해외 보안전문지 Phrack 제보 후 KT가 침해 관련 서버 임의 폐기, 정부에 허위 폐기 시점 보고 - 과기부·개보위가 증거인멸 및 침해사고 대응 의무 위반 여부 조사 착수

주요 내용

2026년 10월 12일 국정감사장에서 조경태 의원(국회 과학기술정보방송통신위원회)은 KT가 해킹사고를 은폐하고 오히려 보안 안전성을 홍보했다는 의혹을 제기하며 신규 가입 금지 등 강력한 제재를 요구했다. 이는 정보통신서비스 제공자의 침해사고 대응 의무를 정면으로 위반한 중대 사안으로, ISMS-P 인증 취소까지 검토될 수 있는 상황이다.

특히 문제가 된 것은 2026년 8월 해외 보안전문지 'Phrack(프랙)'에 KT 침해사고가 제보된 직후의 대응 과정이다. KT는 침해와 관련된 서버를 신속히 폐기했으나, 과학기술정보통신부에 제출한 폐기 시점이 실제와 다른 것으로 확인됐다. 이는 단순한 행정 착오를 넘어 증거인멸 의도가 있었는지 의심받는 대목이다.

과학기술정보통신부와 개인정보보호위원회는 KT의 이 같은 행위가 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」상 침해사고 신고 의무 및 「개인정보 보호법」상 유출 통지 의무를 위반했는지 집중 조사하고 있다. 특히 서버 폐기 시점 허위 보고는 침해사고 조사를 방해하는 중대한 법 위반 행위로, ISMS-P 인증기준의 핵심인 '침해사고 대응 및 관리' 요구사항을 정면으로 위배한다.

업계에서는 이번 사건이 KT뿐 아니라 대형 통신사 전반의 보안 거버넌스 문제를 드러낸 것으로 평가하고 있다. 침해사고 발생 시 투명한 공개와 신속한 대응보다 평판 관리를 우선시하는 조직문화가 여전히 남아있다는 지적이다.

전문가 시각

ISMS-P 선임심사원 관점에서 이번 KT 사례는 침해사고 대응 프로세스의 전형적인 실패 사례다. 침해사고 발생 시 증거 보존은 사고 원인 분석과 재발 방지의 핵심 전제조건이다. 그러나 KT는 침해 관련 서버를 조기 폐기하고 정부에 허위 정보를 제공함으로써 사고 조사의 객관성과 신뢰성을 근본적으로 훼손했다. 이는 ISMS-P 인증심사 시 가장 중시하는 '최고경영자의 의지'와 '법적 요구사항 준수' 통제항목에서 치명적인 부적합 사항에 해당한다.

기업들은 이번 사건을 통해 침해사고 대응이 단순한 기술적 문제가 아니라 법적·윤리적 책임을 수반하는 경영 리스크임을 재인식해야 한다. 특히 침해 증거 보존, 관계기관 신고, 이용자 통지 등 법정 의무사항은 어떠한 경우에도 우선적으로 이행돼야 하며, 이를 위반할 경우 인증 취소를 넘어 형사처벌까지 받을 수 있다는 점을 명심해야 한다. 평판 관리보다 투명한 공개와 신속한 대응이 장기적으로 기업 신뢰도를 높이는 최선의 전략이다.

ISMS-P 심사원 체크포인트

1. 침해사고 대응 및 관리 (ISMS-P 2.8.2~2.8.4)
- 침해사고 발생 시 증거 수집·보존 절차가 수립·이행되고 있는가
- 침해사고 관련 로그, 서버 이미지, 네트워크 패킷 등 디지털 포렌식 증거를 임의 삭제하지 않고 안전하게 보관하는가
- 「정보통신망법」 제48조의3(침해사고 신고 등)에 따라 침해사고 인지 후 24시간 이내 한국인터넷진흥원(KISA)에 신고했는가
- 「개인정보 보호법」 제34조(개인정보 유출 통지 등)에 따라 정보주체 및 개인정보보호위원회에 통지했는가

2. 경영진의 참여 및 조직 구성 (ISMS-P 1.1.1~1.1.3)
- 최고경영자가 침해사고 대응 시 법적 요구사항 준수를 최우선으로 지시하는가
- 침해사고 은폐·축소 시도 등 비윤리적 대응을 방지하기 위한 내부통제 체계가 작동하는가
- 침해사고 대응 조직(CSIRT)이 독립적으로 운영되며 경영진의 부당한 개입을 차단하는가

3. 법적 요구사항 준수 (ISMS-P 1.5.1)
- 정보보호 및 개인정보보호 관련 법령(정보통신망법, 개인정보 보호법 등)의 준수 여부를 정기적으로 점검하는가
- 법령 위반 사항 발견 시 즉시 시정하고 재발 방지 대책을 수립하는가
- 규제기관 제출 자료의 정확성·진실성을 보장하기 위한 검증 절차가 있는가

CPPG·ISMS-P 연계 포인트

침해사고 신고 및 통지 의무 (정보통신망법 제48조의3, 개인정보 보호법 제34조)
정보통신서비스 제공자는 이용자의 개인정보가 유출된 침해사고 인지 시 24시간 이내 KISA 신고, 지체 없이 정보주체 및 개보위 통지가 의무화돼 있다. 통지 내용에는 유출 시점·항목·규모, 피해 최소화 방안, 대응 조치 등이 포함돼야 하며, 허위 통지 또는 미통지 시 3년 이하 징역 또는 3천만원 이하 벌금에 처해진다. KT 사례는 침해사고 은폐 및 허위 보고로 가중 처벌 가능성이 높다.

디지털 포렌식과 증거 보존 원칙
침해사고 대응 시 원본 증거의 무결성 보장이 최우선이다. 서버 이미지 복제(디스크 이미징), 로그 타임스탬프 검증, 해시값 비교 등 법정 증거능력을 갖춘 포렌식 절차를 준수해야 한다. 증거 훼손·인멸 시 형사소송법상 증거인멸죄(제155조) 적용 가능하며, ISMS-P 심사 시 즉시 부적합 판정된다. 침해 서버는 최소 6개월 이상 보존하며 관계기관 조사 종료 전 임의 폐기를 금지한다.