통신 3사 중 2곳 해킹 피해, 과징금만 600억 돌파…대형 침해사고 시대 열리나

---

SK텔레콤과 KT가 연이어 대규모 해킹사고로 역대급 과징금을 부과받으면서, 통신업계 전반의 보안 체계에 근본적 의문이 제기되고 있다. 특히 KT에 부과된 540억원은 개인정보보호위원회 출범 이후 최고액으로, 안전조치의무 위반에 대한 제재 수위가 한층 강화됐음을 보여준다.

---

SK텔레콤, 침해사고 후폭풍으로 2분기 연속 적자 전망

SK텔레콤은 2025년 발생한 해킹사고로 대규모 개인정보가 유출되면서 개인정보보호위원회로부터 과징금 처분을 받았다. 문제는 재무적 충격이 일회성에 그치지 않는다는 점이다.

과징금 부담으로 2026년 1분기에 이어 2분기에도 적자가 전망되면서, 대규모 침해사고가 기업의 장기적 재무건전성까지 위협할 수 있음이 현실화됐다. 이는 개인정보보호가 더 이상 규제 준수의 문제가 아닌 경영 리스크 관리의 핵심 과제임을 방증한다.

KT '펨토셀' 취약점 악용, 역대 최고 540억 과징금

KT 사례는 보안 취약점이 어떻게 연쇄적 피해로 확대되는지를 극명하게 보여준다. 해커들은 가정·소규모 사업장에 설치된 소형 기지국 장비 '펨토셀'의 인증체계 취약점을 파고들었다.

단순 정보 유출에 그치지 않고 무단 소액결제 피해까지 발생하면서 이용자들의 직접적인 금전 손해로 이어졌다. 개인정보보호위원회는 안전조치의무 위반의 중대성을 인정해 역대 최고액인 540억원의 과징금을 부과하고, 관련자를 검찰에 고발하는 강력한 조치를 내렸다.

두 사례가 보여주는 공통 패턴

첫째, 인프라 취약점에 대한 선제적 점검 부재다. SK텔레콤과 KT 모두 핵심 통신 인프라에서 해킹이 발생했으며, 사전에 취약점을 탐지·보완하지 못했다.

둘째, 피해 규모의 대형화다. 통신사가 보유한 개인정보의 양과 민감도를 고려할 때, 한 번의 침해사고가 수백만 명의 피해로 직결된다.

셋째, 제재 수위의 상향 추세다. 개인정보보호위원회는 기업 규모와 관계없이 위반의 중대성에 비례한 과징금을 부과하고 있으며, 형사고발 병행도 일반화되고 있다.

기업·기관이 취해야 할 대응 방안

1. 주기적 취약점 진단 의무화: 모든 네트워크 장비와 시스템에 대해 정기 보안점검 체계를 수립해야 한다.

2. 침해사고 대응 시나리오 고도화: 사고 발생 시 72시간 내 신고의무 준수와 함께 이용자 피해 확산 방지를 위한 즉각적 조치 매뉴얼이 필요하다.

3. 보안 투자 확대와 거버넌스 강화: 이번 사례는 보안 비용이 사후 과징금보다 훨씬 저렴함을 증명한다. CISO의 독립적 권한 보장과 이사회 차원의 보안 의사결정 구조가 요구된다.

---

📘 CPPG·ISMS-P 시험 연계 포인트

>

「개인정보의 안전성 확보조치 기준」 제4조(접근권한의 관리)와 제6조(접근통제)

>

본 사례에서 KT 펨토셀의 '인증체계 취약점'은 접근통제 미비의 전형적 사례다. 시험에서는 ▲네트워크 장비의 인증·인가 절차 ▲외부 접근에 대한 차단 조치 ▲접근권한 최소화 원칙 등이 안전조치의무 위반 여부 판단 기준으로 자주 출제된다. 침해사고 발생 시 '기술적·관리적 보호조치'의 이행 여부가 과징금 산정의 핵심 고려요소임을 기억하자.

---

백남정 기자 privacywatch@example.com