통신 양강 연쇄 해킹에 북한發 공격까지…'600억 제재' 시대, 개인정보보호 총체적 위기

---

국내 1·2위 통신사가 잇따라 대규모 해킹 피해를 입으며 합산 과징금이 600억 원을 돌파할 전망이다. 여기에 북한 연계 해킹 조직의 한국인 타깃 공격까지 강화되면서, 민관 전체의 개인정보보호 체계에 경고등이 켜졌다.

---

1. SKT·KT, 초유의 연쇄 해킹 사태

국내 통신 시장 점유율 1, 2위를 다투는 SK텔레콤과 KT가 나란히 해킹 피해를 입으며 전례 없는 제재 국면에 돌입했다.

KT는 펨토셀(소형 기지국) 인증체계의 취약점을 공격당해 고객 정보가 유출됐다. 개인정보보호위원회는 KT에 540억 원의 과징금을 부과하고 검찰 고발까지 의뢰했다. 이는 국내 개인정보보호법 위반 사례 중 역대 최고 수준의 제재다.

SK텔레콤 역시 현재 침해사고 조사가 진행 중이며, 업계에서는 최종 제재액이 확정될 경우 양사 합산 과징금이 600억 원을 초과할 것으로 전망하고 있다. 통신 인프라의 핵심인 인증 시스템이 뚫렸다는 점에서 사안의 심각성이 크다.

---

2. 북한 해킹 조직, APT 공격 고도화

외부 위협도 급증하고 있다. 북한 연계 해킹 조직이 한국인을 타깃으로 APT(지능형 지속 위협) 기반 악성코드 공격을 강화하고 있다는 경고가 나왔다.

이들의 공격 패턴은 단순 정보 탈취를 넘어 다단계 피해 구조를 특징으로 한다:

단계	피해 유형
1차	계정정보·비밀번호·개인정보 유출
2차	네트워크 내 주변 컴퓨터 연쇄 감염
3차	랜섬웨어를 통한 금전 요구

기업 내부망에 침투할 경우 조직 전체로 피해가 확산될 수 있어, 개인 사용자는 물론 기업 보안 담당자의 각별한 주의가 요구된다.

---

3. 공통 패턴 분석: 인증체계와 초기 대응의 허점

두 사례에서 드러난 공통적인 취약점은 다음과 같다:

첫째, 인증체계의 구조적 허점이다. KT 펨토셀 해킹은 단말 인증 과정의 취약점이 방치된 결과다. 신규 서비스 도입 시 보안성 검토가 형식적으로 이뤄졌다는 비판을 피하기 어렵다.

둘째, 침해사고 탐지·대응 체계의 미흡이다. APT 공격은 장기간 잠복하며 탐지를 회피하는데, 실시간 모니터링과 이상 징후 탐지 역량이 부족하면 피해가 확대된다.

셋째, 제3자 제공·위탁 관리의 사각지대다. 통신사의 복잡한 시스템 구조에서 협력업체 접점의 보안 관리가 소홀해지는 경향이 있다.

---

4. 기업·기관 대응 방안

이번 사태를 계기로 다음과 같은 선제적 대응이 필요하다:

• ISMS-P 인증 실효성 강화: 형식적 인증을 넘어 실질적 취약점 점검 주기를 단축하고, 신규 서비스 출시 전 보안 영향평가를 의무화해야 한다.

• 제로 트러스트 아키텍처 도입: '신뢰하지 말고 검증하라'는 원칙 하에 내부 네트워크까지 상시 인증·모니터링 체계를 구축해야 한다.

• 침해사고 대응 매뉴얼 고도화: 72시간 내 신고 의무 준수는 물론, 피해 확산 차단을 위한 즉시 격리 프로세스를 마련해야 한다.

• 임직원 보안 인식 교육 강화: APT 공격의 주요 침투 경로인 스피어피싱에 대한 정기 모의훈련을 실시해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

「개인정보보호법」 제29조(안전조치의무)와 동법 시행령 제30조

>

개인정보처리자는 개인정보의 분실·도난·유출·위조·변조·훼손을 방지하기 위해 접근 권한 관리, 접근통제시스템 설치, 암호화, 접속기록 보관 등 기술적·관리적·물리적 안전조치를 취해야 한다. 이를 위반하여 개인정보가 유출된 경우, 전체 매출액의 3% 이내 과징금 부과 대상이 된다. KT 사례는 '접근통제' 및 '암호화' 조치 위반이 핵심 쟁점이다.

---

백남정 기자 | 개인정보보호 전문