통신 2강 SKT·KT 연쇄 해킹, 합산 과징금 600억 돌파…보안 총체적 부실 드러나

국내 1, 2위 통신사가 잇따라 대규모 해킹 피해를 입으며 역대 최고 수준의 과징금 처분을 받았다. KT 540억 원에 이어 SK텔레콤까지 제재가 확정되면 합산 과징금은 600억 원을 넘어설 전망이다. 수천만 가입자의 개인정보를 다루는 기간통신사업자의 보안 관리체계에 근본적인 문제가 있다는 지적이 나온다.

---

사례 분석

KT: 펨토셀 인증체계 취약점, 역대 최고 과징금

개인정보보호위원회는 KT에 540억 원의 과징금과 함께 검찰 고발 처분을 의결했다. 이는 단일 기업 대상 역대 최고 금액이다.

문제의 핵심은 펨토셀(소형 기지국) 인증체계의 구조적 취약점이었다. 공격자는 펨토셀과 KT 서버 간 통신 구간의 인증 미비를 악용해 고객 개인정보에 접근했다. 네트워크 장비 보안이 단말기 수준에 머물러 있었고, 이상 접근에 대한 탐지·차단 체계도 제대로 작동하지 않은 것으로 파악됐다.

특히 KT는 과거에도 2014년 홈페이지 해킹(1,200만 건 유출), 2012년 영업시스템 해킹(870만 건 유출) 등 반복적인 침해사고 이력이 있어 관리체계 전반의 실효성에 의문이 제기된다.

SK텔레콤: 해킹 피해 규모 확인 중

SK텔레콤 역시 해킹으로 인한 개인정보 유출 사고가 발생해 개인정보보호위원회의 조사를 받고 있다. 구체적인 유출 규모와 경위는 조사 중이나, 과징금 부과가 확정되면 통신업계 연쇄 해킹에 따른 누적 제재 규모는 600억 원을 초과할 것으로 예상된다.

업계 1, 2위 사업자가 연이어 대규모 침해사고를 겪으면서, 기간통신사업자에 대한 보안 규제 강화 논의가 본격화될 전망이다.

---

공통 패턴: 기술적 보호조치의 구조적 미비

두 사건에서 드러난 공통적인 문제점은 다음과 같다.

첫째, 인증체계의 취약점 방치다. 네트워크 장비와 서버 간 통신에서 강력한 상호인증이 적용되지 않았다. 내부 시스템이라는 이유로 보안 수준이 낮게 설정된 것이 화근이었다.

둘째, 실시간 이상탐지 체계의 부재다. 대량의 비정상 접근이 발생했음에도 이를 즉시 감지하고 차단하는 체계가 미흡했다. 침입탐지시스템(IDS)과 보안관제센터(SOC)의 실효성이 검증되지 않았다.

셋째, 과거 사고로부터의 학습 실패다. 반복적인 침해사고에도 근본 원인을 해소하지 못하고 유사한 패턴의 사고가 재발했다.

---

기업·기관 대응 방안

대규모 개인정보를 처리하는 기업은 다음 사항을 점검해야 한다.

• 제로 트러스트 아키텍처 도입: 내부 네트워크라도 모든 접근에 대해 지속적인 인증·검증 적용
• ISMS-P 인증의 실질적 운영: 형식적 인증 취득을 넘어 연간 모의해킹, 취약점 점검의 내실화
• 침해사고 대응 프로세스 고도화: 72시간 내 신고 의무 준수를 위한 상시 모니터링 체계 구축
• 경영진 책임 강화: 개인정보 보호책임자(CPO)의 독립성 보장과 이사회 보고체계 확립

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제29조(안전조치의무)와 개인정보의 안전성 확보조치 기준 고시에서 규정하는 '기술적 보호조치'가 핵심 쟁점이다. 특히 접근통제(제5조), 접근권한 관리(제5조), 침입탐지시스템 운영(제6조), 암호화(제7조) 요건이 이번 사건과 직결된다. ISMS-P 인증 심사 시에도 네트워크 구간별 인증체계와 이상행위 탐지·대응 체계의 운영 실효성을 입증해야 한다. 단순 구축이 아닌 '적정하게 운영'하고 있는지가 법적 판단의 기준이 된다.

---

기자 백남정 | 개인정보보호 전문매체