2025.08.29 금요일
검색
'총체적 부실' 검색결과
기간검색
-
~
검색영역
검색어
-
SKT, 1348억 과징금…'총체적 부실' 책임에 '전면 쇄신' 약속 [이코노믹데일리] 개인정보보호위원회가 SK텔레콤에 사상 최대 규모인 1348억원의 과징금을 부과했다. 대한민국 1위 통신사업자의 명성을 무색게 한 ‘총체적 보안 부실’에 대한 엄중한 책임 추궁이다. SK텔레콤은 당혹감 속에서 법적 대응까지 고심하고 있지만 동시에 이번 사태를 뼈아픈 교훈 삼아 전면적인 쇄신에 나서겠다는 의지를 보이고 있다. 천문학적 과징금은 끝이 아닌 새로운 시작을 강제하는 신호탄이 되고 있다. 개인정보위의 3개월간의 집중 조사는 SK텔레콤의 보안 체계가 얼마나 허술했는지를 낱낱이 드러냈다. 2021년 8월 해커의 최초 침투 이후 2324만 명의 유심(USIM) 인증키를 포함한 핵심 정보가 유출되기까지 회사는 수많은 위험 신호를 놓쳤다. 개인정보위가 위반 행위를 과징금 산정 최고 수준인 ‘매우 중대한 위반’으로 판단한 이유는 명확하다. △8년 넘게 방치된 OS 보안 취약점 △경쟁사들이 10여 년 전부터 시행한 유심 인증키 암호화 미조치 △수천 개 서버 계정정보의 평문 저장 △외부 침입에 무방비였던 네트워크 관리 △해커의 접속 흔적을 발견하고도 무시한 안일한 대응 등 기본적인 보안 의무조차 지키지 않은 사실이 모두 확인됐다. 고학수 개인정보위 위원장은 "회사가 몇 년에 걸쳐 취약 상태에 노출돼 있었고 굉장히 광범위한 종류의 취약점이 있었다"고 지적했다. 조직적 문제도 심각했다. 개인정보 보호책임자(CPO)의 권한이 IT 서비스 영역에만 한정돼 정작 사고가 발생한 핵심 통신 인프라는 관리·감독의 사각지대에 놓여 있었다. 이는 CPO 제도를 형식적으로 운영했음을 방증하는 대목이다. ◆ 당혹감 속 고심하는 SKT, '수용'과 '유감' 사이...위기를 쇄신의 기회로 SK텔레콤은 개인정보위의 결정에 공식적으로 “무거운 책임감을 느낀다”면서도 “조사 과정에서 당사의 조치 사항과 입장을 충분히 소명했음에도 결과에 반영되지 않아 유감”이라며 복잡한 심경을 드러냈다. 내부적으로는 법적 대응을 고심하는 기류가 강하다. 당초 1000억원 미만을 예상했던 과징금이 예상을 훌쩍 뛰어넘으면서 재무적 충격과 대외 신인도 하락을 우려하지 않을 수 없게 됐다. 특히 사고 직후 5000억원 규모의 고객 보상 프로그램을 추진하는 등 피해 구제 노력이 감경 요소로 충분히 반영되지 않았다는 불만도 감지된다. 이미 SK텔레콤은 이번 사태로 시장 점유율 40% 선이 무너지고 2분기 영업이익이 급감하는 등 상당한 타격을 입은 상태다. 여기에 거액의 과징금까지 더해지면서 AI 등 미래 성장 동력에 대한 투자 차질마저 우려되는 상황이다. 하지만 SK텔레콤은 과징금에 대한 법적 대응과는 별개로 이번 위기를 근본적인 체질 개선의 기회로 삼겠다는 의지를 분명히 하고 있다. 단순히 드러난 문제점을 땜질하는 수준을 넘어 조직의 DNA 자체를 바꾸는 대수술에 착수했다. 회사는 CEO 직속의 정보보호 최고 책임자(CISO/CPO) 조직을 신설하고 전사적인 보안 정책을 총괄할 막강한 권한을 부여하는 등 지배구조 개편에 나섰다. 또한 향후 수년간 수천억원 규모의 대규모 투자를 정보보호 분야에 집행, AI 기반의 차세대 보안 관제 시스템을 도입하고 네트워크 전반에 ‘제로 트러스트’ 아키텍처를 적용하는 등 기술적 혁신을 예고했다. 이는 보안을 경영의 최우선 순위에 두겠다는 명확한 선언이다. 결국 SK텔레콤 앞에는 두 갈래 길이 놓여 있다. 하나는 과징금에 대한 법적 공방에 매몰돼 ‘책임 회피’라는 부정적 이미지를 키우는 길이고 다른 하나는 뼈아픈 과오를 인정하고 약속한 쇄신안을 진정성 있게 이행해 ‘보안 선도 대한민국 1등 기업’으로 거듭나는 길이다. 무너진 고객의 신뢰를 회복하는 여정은 이제 막 시작됐다.2025-08-28 14:33:02
-
SKT 해킹, '총체적 부실' 결론… 4년간의 보안 구멍, 은폐 정황까지(종합) [이코노믹데일리] 국내 1위 이동통신사 SK텔레콤의 대규모 유심(USIM) 정보 유출 사태는 최소 4년간 이어진 기본적인 보안 의무 방기와 허술한 관리, 심지어 침해 사실을 인지하고도 숨기려 한 정황까지 드러난 ‘총체적 부실’의 결과물로 결론 났다. 정부 민관합동조사단은 SK텔레콤의 명백한 과실을 확인하고 통신사 과실로 인한 해지에 대해 정부가 약관상 면제 조항을 적용한 첫 사례를 만들었다. 이에 따라 피해를 본 2696만명의 가입자는 위약금 없이 계약을 해지할 수 있는 길이 열렸다. 과학기술정보통신부는 4일 발표한 민관합동조사단 최종 조사 결과 공격자가 최소 2021년 8월부터 SK텔레콤 서버에 침투했으며 이 과정에서 2696만 건(IMSI 기준)에 달하는 9.82GB 규모의 유심 정보가 유출됐다고 밝혔다. 유출된 정보에는 전화번호, 가입자식별번호(IMSI) 등 25종의 민감 정보가 포함됐으며 특히 유심 복제에 악용될 수 있는 핵심 인증키(Ki) 값이 암호화조차 되지 않은 채 저장되어 있었던 것으로 확인됐다. 일부 서버에서는 이름, 생년월일, 이메일 등 개인정보와 통화기록까지 암호화되지 않은 평문 상태로 발견돼 보안 불감증이 극에 달했음을 보여줬다. 조사단의 포렌식 분석 결과 이번 사태는 막을 수 없었던 고도의 공격이 아니라 기본적인 보안 수칙을 지키지 않아 터진 ‘인재(人災)’에 가까웠다. 공격자는 외부 인터넷과 연결된 시스템 관리망 서버에 처음 침투한 뒤 아이디와 비밀번호가 평문으로 저장된 것을 이용해 손쉽게 내부 서버로 접근했다. 이를 통해 음성통화인증(HSS) 관리서버까지 장악하고 ‘BPF도어’ 등 33종의 악성코드를 설치해 정보를 빼돌렸다. 이는 KT나 LG유플러스가 세계이동통신사업자협회(GSMA) 권고에 따라 인증키를 암호화했던 것과 달리 SK텔레콤이 가장 기본적인 보안 조치마저 외면한 결과다. 더욱 충격적인 사실은 SK텔레콤이 침해 사실을 인지하고도 의도적으로 축소·은폐하려 한 정황이다. SK텔레콤은 이미 2년 전인 2022년 2월, 특정 서버에서 악성코드를 발견했지만 정보통신망법에 따른 신고 의무를 이행하지 않았다. 당시 제대로 된 원인 분석과 후속 조치를 했다면 이번 대규모 유출 사태를 막을 수 있었다는 지적이 나온다. 이번 침해 사고 대응 과정에서도 문제는 반복됐다. 사고 인지 후 24시간을 훌쩍 넘겨 늑장 신고를 했을 뿐만 아니라 일부 악성코드 감염 사실을 누락해 신고했다. 급기야 과기정통부가 원인 분석을 위해 내린 ‘자료 보전 명령’을 위반하고 서버 2대를 포렌식 분석이 불가능한 상태로 임의 조치한 뒤 조사단에 제출하는 등 증거인멸 시도까지 드러났다. 이러한 문제는 허술한 내부 정보보호 거버넌스에서 비롯됐다. SK텔레콤의 정보보호최고책임자(CISO)는 전사 자산의 57%에 불과한 IT 영역만 담당하고 네트워크 영역은 관할하지 않아 책임 소재가 분산돼 있었다. 정보보호 인력과 투자 규모 역시 가입자 수 대비 경쟁사에 비해 현저히 부족했다. 유상임 과기정통부 장관은 “이번 SK텔레콤 침해사고는 국내 통신 업계뿐만 아니라 네트워크 인프라 전반의 정보보호에 경종을 울리는 사고였다”며 “SK텔레콤은 향후 정보보호를 기업 경영의 최우선 순위로 두어야 할 것”이라고 강하게 질책했다. 이에 따라 과기정통부는 늑장·허위 신고에 대해 과태료를 부과하고 자료보전 명령 위반에 대해서는 수사기관에 정식으로 수사를 의뢰할 방침이다. 또한 SK텔레콤의 명백한 귀책사유가 인정됨에 따라 이용약관에 근거해 이용자들이 위약금 부담 없이 해지할 수 있다고 판단했다. 한편 정부는 이번 사태를 계기로 통신망 보안 관련 법제도를 전면 개편하고 다가올 AI 시대에 대비해 국가 사이버보안 체계를 강화하겠다고 밝혔다.2025-07-04 14:39:16
-
사이버 안보 '총체적 부실'... 국가·기업, 속수무책 뚫린다 [이코노믹데일리] 국가 기간망부터 민간 기업의 핵심 정보까지 대한민국의 사이버 안보 체계가 뿌리부터 흔들리고 있다. 인공지능(AI) 기술을 등에 업은 사이버 공격은 날로 지능화·조직화하며 국경을 넘나드는 ‘전쟁’의 양상을 띠고 있지만 국내 대응은 ‘소 잃고 외양간 고치는’ 수준을 벗어나지 못하고 있다. 민간은 보안 투자를 비용으로 치부하며 소홀히 하고 정부는 명확한 컨트롤타워 없이 부처 간 책임을 떠넘기는 사이 국가 시스템 마비와 핵심 기술 유출이라는 ‘시한폭탄’의 초침이 흘러가고 있다는 지적이 나온다. 최근 발생한 일련의 해킹 사태는 이러한 위기를 단적으로 보여준다. 회원 2000만명의 인터넷 서점 예스24는 랜섬웨어 공격에 전산망이 마비돼 나흘간 서비스가 중단됐고 CJ올리브네트웍스는 인증서 파일이 유출돼 북한 해킹 그룹 ‘김수키’ 연루설까지 제기됐다. SK텔레콤에서는 2700만건에 달하는 가입자 식별 정보가 유출됐으며 악성코드는 최소 3년간 잠복해 있었던 것으로 드러났다. 이러한 개별 기업의 피해는 ‘공급망 공격’으로 확산되며 산업 생태계 전체를 위협한다. 올 2월 L그룹의 협력사 S사가 랜섬웨어 공격으로 설계도면, 부품 시험결과 등 기밀문서를 탈취당한 것이 대표적 사례다. 이는 보안이 취약한 협력사를 우회해 대기업을 노리는 최신 공격 트렌드를 반영한다. 이러한 위협은 더 이상 개별 기업의 문제를 넘어 국가 안보 차원의 의제로 부상했다. 최근 이란의 가상화폐 거래소를 공격한 친이스라엘 해킹 조직 ‘프레더토리 스패로’와 이에 맞서 이스라엘 주요 인프라 공격으로 보복한 이란의 사례는 사이버 공간이 이미 새로운 전쟁터가 되었음을 명확히 보여준다. 한 보안 전문가는 “사이버 공간에서의 총성 없는 전쟁은 이미 현실이 됐다”며 “과거에는 물리적 타격이 전쟁의 시작을 알렸다면 이제는 전력망, 통신, 금융 등 국가 핵심 인프라를 마비시키는 것이 선제공격의 핵심이며 이는 단순 기술 유출을 넘어 사회 전체를 혼란에 빠뜨릴 수 있는 명백한 안보 위협”이라고 진단했다. 그러나 국내 기업들의 현실 인식은 위기감과 거리가 멀다. 시가총액 상위 10대 그룹 계열사 87곳의 지난해 정보보호 투자액은 9849억원으로 전년 대비 18.2% 증가했지만 정보기술(IT) 투자액 대비 정보보호 투자 비중은 5.8%로 제자리걸음이었다. 이는 IT 예산의 평균 26%를 사이버보안에 지출하는 미국 기업의 4분의 1에도 미치지 못하는 수준이다. 인력 구조의 허점도 심각하다. 정보보호 인력 3명 중 1명(35%) 이상이 외주에 의존하고 있으며 특히 SK그룹은 그 비중이 72.6%에 달했다. 한 보안 컨설팅 업계 전문가는 “보안은 단순한 기능이 아니라 조직 문화와 깊이 연관되어야 한다”며 “외부 인력에 과도하게 의존하는 구조는 비상 상황 발생 시 신속하고 책임 있는 의사결정을 저해할 수 있으며 핵심 방어 역량은 반드시 내재화하여 충성도와 전문성을 동시에 갖춘 방패를 만들어야 한다”고 강조했다. 보안 정책을 총괄하는 최고정보보호책임자(CISO)의 위상과 권한이 미흡한 것도 구조적 문제다. 대기업 계열사 4곳 중 1곳은 CISO가 임원이 아니었으며 전체의 72.4%는 다른 직책을 겸직하고 있었다. 심지어 한 KT 자회사는 정보보호와 정반대의 목표를 가진 최고재무책임자(CFO)가 CISO를 겸직하는 이해충돌 상황까지 벌어졌다. CISO가 임원급 의사결정권을 갖지 못하면 예산 확보와 신속한 위기 대응은 요원할 수밖에 없다. 또 다른 보안 전문가는 “기업의 정보 자산은 곧 미래 경쟁력과 직결된다”면서 “‘우리는 안전하다’는 막연한 자신감을 버리고 ‘이미 침투당했다’는 전제 하에 데이터를 파편화하고 암호화하는 등 최후의 보루를 지키는 전략으로 전환해야 한다. 해커가 데이터를 가져가더라도 쓸모없게 만드는 것이 핵심”이라고 조언했다. 기업들의 안이한 대응 못지않게 정부의 역할 부재도 심각한 문제로 지적된다. 국가 행정전산망과 법원 해킹 등 공공 시스템이 뚫려도 수개월째 범인조차 특정하지 못하고 있으며 사이버 위협 대응 연구·개발(R&D) 예산은 오히려 전년 대비 8% 삭감됐다. 무엇보다 심각한 것은 재난 상황을 일사불란하게 지휘할 컨트롤타워의 부재다. 미국(CISA), 영국(NCSC) 등 주요국은 모두 국가 차원의 사이버 안보 기관을 운영하지만 한국은 관련 이슈가 터지면 과기정통부, 경찰, 국방부, KISA 등이 각자 대응해 효율성이 떨어진다. 실제로 예스24는 해킹 사고 후 KISA의 기술 지원 협조 요청을 거부했지만 이를 강제할 수단이 없었다. 컨트롤타워 설립과 민관 합동 대응 체계 구축을 골자로 하는 ‘사이버안보기본법’은 국가기관의 민간 사찰 우려라는 인권 논란에 발목이 잡혀 2006년 이후 18년째 국회 문턱을 넘지 못하고 있다. 한 보안업계 관계자는 “개별 기업의 방어 노력만으로는 국가 단위로 움직이는 해킹 조직을 막아낼 수 없다”며 “범정부 차원의 강력한 리더십 아래 민관이 유기적으로 협력하는 통합 방어 체계가 절실하며 AI 기반의 차세대 위협에 맞서려면 방어 기술 R&D에 국가적 역량을 집중하고 이를 산업계와 신속하게 공유하는 선순환 구조를 만들어야 한다”고 역설했다.2025-07-03 06:05:00
많이 본 뉴스
영상
Youtube 바로가기
![[기자수첩] 위고비, 치료제지 미용이 아니다...의료계 주객전도 되지 말아야](https://image.ajunews.com/content/image/2025/08/19/20250819190901361359_518_323.png)