통신·교통 인프라 동시다발 해킹, 600억 과징금 시대 열렸다

국내 양대 통신사가 연쇄 해킹으로 사상 최대 규모의 과징금 처분을 앞두고 있다. 동시에 교통 인프라 시스템에서도 치명적 보안 취약점이 발견되며, 국가 핵심 시설 전반의 개인정보보호 체계에 적신호가 켜졌다.

---

1. SKT·KT 연쇄 침해, 합산 600억 원 초과 전망

개인정보보호위원회는 KT에 대해 540억 원의 과징금과 함께 검찰 고발 조치를 의결했다. 이번 사고는 펨토셀(소형 기지국) 인증체계의 취약점을 악용한 해킹으로, 고객 개인정보가 대규모로 유출된 것으로 확인됐다.

SK텔레콤 역시 별도의 침해사고 조사가 진행 중이다. 업계에서는 양사 합산 과징금이 600억 원을 초과할 것으로 전망하고 있다. 이는 국내 개인정보 침해사고 처분 역사상 전례 없는 규모다.

특히 이번 사고에는 북한 연계 해킹 조직의 APT(지능형 지속 위협) 공격이 관여한 정황이 포착됐다. 국가 배후 사이버 공격이 민간 통신 인프라를 직접 타격했다는 점에서 안보 차원의 우려도 커지고 있다.

---

2. 교통 분석 시스템서 CVSS 9.8점 치명적 취약점

설상가상으로 UMAI Vision 교통 분석 시스템에서 CVSS 9.8점의 치명적 SQL 인젝션 취약점(CVE-2026-4978)이 발견됐다.

해당 취약점은 인증 절차 없이 원격에서 데이터베이스 전체에 접근할 수 있어, 교통량 데이터는 물론 연동된 개인정보까지 탈취가 가능한 상황이다. 버전 30~33이 영향을 받으며, 버전 34로의 즉시 패치가 권고되고 있다.

교통 시스템은 차량번호, 이동경로 등 민감한 위치정보를 다량 처리한다는 점에서 악용 시 피해가 광범위할 수 있다.

---

3. 공통 패턴: 인증체계 허점과 패치 지연

두 사례는 표면적으로 다르지만, 핵심 원인은 동일하다.

구분	KT 사고	UMAI Vision
취약점	펨토셀 인증체계	SQL 인젝션
근본 원인	접근통제 미흡	입력값 검증 부재
공통점	인증·검증 단계의 구조적 허점 방치

APT 공격이든 알려진 취약점 악용이든, 결국 기본적인 보안 통제의 실패가 대형 사고로 이어졌다.

---

4. 기업·기관 대응 방안

즉시 조치
- UMAI Vision 사용 기관: 버전 34 긴급 패치 적용
- 통신장비 인증체계 전수점검 및 이상접근 로그 분석

중장기 대응
- 제로 트러스트 아키텍처 도입으로 내부망에서도 지속 검증
- 위협 인텔리전스 기반 APT 탐지체계 고도화
- 침해사고 대응 모의훈련 정례화 및 신고체계 재점검

600억 원대 과징금은 단순한 벌금이 아니라, 보안 투자 미비에 대한 시장의 경고다. 선제적 투자가 결국 비용을 줄인다는 인식의 전환이 필요하다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제29조(안전조치의무) 및 ISMS-P 인증기준 2.6.2(접근통제)는 개인정보처리시스템에 대한 접근권한 관리, 인증수단 적용, 접근통제 정책 수립을 요구한다. 이번 KT 사고에서 펨토셀 인증체계 취약점은 해당 통제항목 위반의 전형적 사례로, 기술적·관리적 보호조치의 "침입차단·탐지 시스템 운영" 및 "접근권한의 차등 부여" 기준이 시험에 출제될 가능성이 높다.

---

백남정 기자 | 개인정보보호 전문 데스크