SKT·KT 연쇄 해킹, 과징금 600억 돌파…통신업계 보안 총체적 부실 드러나

국내 1·2위 통신사가 잇따라 대규모 해킹 피해를 입으며 역대급 과징금 폭탄을 맞았다. KT는 540억 원의 역대 최고 과징금과 함께 검찰 고발까지 당했고, SK텔레콤은 해킹 여파로 2분기 연속 적자가 전망된다. 국민 대다수가 이용하는 통신 인프라의 보안 불감증이 도마 위에 올랐다.

---

사례 분석: 두 통신 공룡의 추락

KT, 펨토셀 취약점으로 역대 최고 과징금

KT는 소형 기지국 장비인 '펨토셀'의 인증체계 취약점을 방치해 대규모 개인정보 유출 사고를 일으켰다. 해커들은 이 취약점을 악용해 고객 개인정보를 탈취했을 뿐 아니라, 무단 소액결제 피해까지 발생시켰다.

개인정보보호위원회는 KT에 540억 원의 과징금을 부과하고 검찰 고발 조치를 내렸다. 이는 개인정보보호법 시행 이후 단일 사건 기준 역대 최고액이다. 위원회는 "기술적·관리적 보호조치 의무를 현저히 위반했다"고 판단 근거를 밝혔다.

SK텔레콤, 해킹 후유증으로 연속 적자 전망

SK텔레콤 역시 해킹으로 대규모 개인정보가 유출되면서 기업 신뢰도에 치명타를 입었다. 아직 최종 과징금 규모는 확정되지 않았으나, 두 통신사 합산 과징금이 600억 원을 돌파할 것으로 예상된다. SK텔레콤은 사고 대응 비용과 고객 이탈 영향으로 2분기 연속 적자가 불가피한 상황이다.

---

공통 패턴: 구조적 보안 허점 방치

두 사건에서 드러난 공통점은 명확하다.

첫째, 인증체계의 구조적 취약점이다. KT의 펨토셀 인증 허점은 이미 업계에서 알려진 위험 요소였으나 적시에 보완되지 않았다. 레거시 시스템에 대한 보안 점검이 형식에 그쳤다는 비판이 나온다.

둘째, 침해 탐지·대응 체계의 부재다. 두 사건 모두 해킹 발생 후 상당 기간이 지나서야 침해 사실을 인지했다. 실시간 모니터링과 이상 징후 탐지 시스템이 제대로 작동하지 않았음을 의미한다.

셋째, 투자 대비 수익 논리의 함정이다. 국내 통신 3사의 정보보호 투자액은 매출 대비 1% 미만에 머물고 있어, 대규모 고객 데이터를 보유한 기업으로서 보안 투자가 현저히 부족하다는 지적이 제기된다.

---

기업·기관 대응 방안

통신업계는 이번 사태를 계기로 전면적인 보안 체계 재점검에 나서야 한다.

• 인증체계 전수조사: 펨토셀 등 외부 접점 장비의 인증 프로토콜을 재점검하고, 다중인증(MFA) 도입을 의무화해야 한다.

• 실시간 침해 탐지 고도화: AI 기반 이상 행위 탐지(UEBA) 솔루션을 도입하고, 보안관제센터(SOC) 운영을 24시간 체제로 강화해야 한다.

• 정보보호 투자 확대: 매출 대비 정보보호 투자 비율을 최소 3% 이상으로 상향하고, 이사회 차원의 보안 거버넌스를 구축해야 한다.

• 침해사고 대응 모의훈련: 정기적인 침투 테스트와 사고 대응 시뮬레이션을 통해 실전 대응 역량을 점검해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.6 접근통제]

정보시스템 및 개인정보처리시스템에 대한 접근통제 정책을 수립하고, 비인가 접근을 통제해야 한다. 특히 외부 접점 장비(펨토셀, IoT 기기 등)에 대해서도 동일한 수준의 인증체계와 접근통제를 적용해야 하며, 이를 주기적으로 점검·관리해야 한다. KT 사례는 외부 장비의 인증 취약점 관리 미흡이 대규모 침해로 이어진 대표적 사례로 출제 가능성이 높다.

---

개인정보보호 전문기자 백남정 | 2025.01.17