2324만명 개인정보 유출 SKT…과징금 1348억 '역대 최대'

▲고학수 개인정보보호위원회 위원장이 8월 27일 오후 서울 종로구 정부서울청사에서 개최된 2025년 제18회 개인정보보호위원회 전체회의에서 모두말씀을 하고 있다. (사진제공=개인정보위)

개인정보보호위원회가 SK텔레콤의 대규모 개인정보 유출 사고에 대해 역대 최대 규모의 과징금을 부과했다.

개인정보위는 27일 제18회 전체회의에서 SK텔레콤이 개인정보보호법상 안전조치 의무와 유출 통지 의무를 위반했다며 과징금 1347억9100만 원과 과태료 960만 원을 부과하기로 의결했다. 이는 개인정보보호위원회 출범 이후 단일 사건 기준 최대 규모 제재다.

이번 조치는 4월 22일 SK텔레콤이 비정상적인 데이터 외부 전송을 인지하고 신고하면서 시작됐다. 개인정보위와 한국인터넷진흥원(KISA)은 즉시 합동 태스크포스(TF)를 구성해 집중 조사에 착수했고 그 결과 SK텔레콤 핵심 네트워크·시스템 관리 소홀로 약 2324만 명의 주요 개인정보가 유출된 사실이 확인됐다.

유출된 정보에는 휴대전화 번호와 가입자식별번호(IMSI), 유심 인증키(Ki) 등 25종이 포함됐다. 특히 인증키가 그대로 유출돼 유심 복제 가능성에 대한 사회적 우려가 확산됐다.

조사 과정에서 △방화벽 설정 미흡 △서버 계정(ID·PW) 관리 부실 △유심 키 암호화 미실시 △보안 패치 미적용 △백신 미설치 등 기초적인 보안 의무 위반이 다수 적발됐다.

특히 SKT는 2022년 2월 해커가 HSS 서버에 접속한 사실을 확인했음에도 비정상 통신 여부나 추가적인 악성프로그램 설치 여부, 접근통제 정책의 적절성 등을 점검하지 않아 이번 유출 사고를 사전에 방지할 기회를 놓친 사실이 확인됐다.

개인정보위는 SKT가 2020년부터 각종 상용 백신 프로그램은 해당 취약점의 실행을 탐지하고 있었으나 해킹이 발생한 4월까지 이를 설치하지 않았을 뿐만 아니라 백신 미설치를 대체하는 보안 조치마저도 소홀히 해 결과적으로 이번 유출 사고를 막지 못한 것으로 판단했다.

개인정보위는 SK텔레콤이 국내 1위 통신사임에도 불구하고 핵심 인프라 영역에서 개인정보보호 책임자(CPO)의 관리·감독이 사실상 작동하지 않았다고 지적했다. 개인정보위는 "SKT는 IT 영역과 통신 인프라 영역 모두에서 이동통신 서비스 제공을 위한 개인정보를 처리함에도 개인정보 보호책임자(CPO)의 역할은 IT 영역에 한정되도록 구성· 운영했다"며 "이에 이번 유출 사고가 발생한 인프라 영역은 CPO가 개인정보 처리 실태조차 파악하지 못하는 등 CPO의 관리·감독이 사실상 이루어지지 않은 것으로 확인 됐다"고 설명했다.

또한 유출 사실을 확인하고도 법정 기한(72시간) 내 통지하지 않아 사회적 혼란을 키웠다는 점도 문제로 꼽았다.

이에 개인정보위는 즉시 유출통지를 진행할 것을 긴급 의결했으나 SKT는 5월 9일 유출 '가능성'에 대해 통지를 실시했으며 7월28일에서야 유출 '확정' 통지를 실시하는 등 개인정보 유출 시 이용자 피해 예방을 위해 보호법에서 규정한 최소한의 의무조차 이행하지 않았다.

이에 따라 개인정보위는 과징금·과태료 부과와 함께 유출 사고 재발 방지를 위해 이동통신 서비스 전반의 개인정보 처리 현황을 면밀히 파악하여 안전조치를 강화하고 개인정보 보호책임자 (CPO)가 회사 전반의 개인정보 처리 업무를 총괄할 수 있도록 거버넌스 체계를 정비할 것을 시정명령했다.

또한, 현재 일부 고객관리시스템(T World 등)에 대해서만 획득한 개인 정보보호관리체계(ISMS-P) 인증 범위를 통신 이동통신 네트워크 시스템으로 확대하여 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고하도록 개선 권고했다.

개인정보위는 유사사례가 발생하지 않도록 대규모 개인정보 처리자에 대한 관리·감독을 더욱 강화하고 개인정보 안전관리 체계 강화방안을 마련하여 9월 초 발표할 예정이다.

고학수 개인정보위 위원장은 "이번 사건을 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력의 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바라며 나아가 데이터 경제시대 CPO와 전담조직이 기업경영에서 차지하는 역할과 중요성을 제고하여 개인정보 보호 체계가 한 단계 강화되는 계기가 되길 바란다"라고 말했다.