“차라리 증거 지워라?” KT 540억 과징금 놓고 ‘나쁜 시그널’ 논란 작성일 08-04 34 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">KT, 로그 삭제·은폐 정황…추가 유출 확인 못 해<br>보안업계 “사고 숨길수록 유리하단 잘못된 신호”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="uoSuhqB3Xj"> <figure class="figure_frm origin_fig" contents-hash="2bfa7ca4db74dbb5b6ca62cfbe67d4f952b8352e426a27800a833f3f6597cc4d" dmcf-pid="7gv7lBb0ZN" dmcf-ptype="figure"> <p class="link_figure"><img alt="양청삼 개인정보보호위원회 사무처장이 30일 오전 서울 종로구 세종대로 정부서울청사에서 (주)KT와 엘지유플러스의 개인정보 유출사고에 대한 시정조치안 의결 관련 브리핑을 하고 있다. /뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/04/chosun/20260804110140167mwlz.jpg" data-org-width="5000" dmcf-mid="qhQby2V7ZL" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/04/chosun/20260804110140167mwlz.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 양청삼 개인정보보호위원회 사무처장이 30일 오전 서울 종로구 세종대로 정부서울청사에서 (주)KT와 엘지유플러스의 개인정보 유출사고에 대한 시정조치안 의결 관련 브리핑을 하고 있다. /뉴스1 </figcaption> </figure> <p contents-hash="7b891a5097fd9e756fa16428cdb8bbde005679117e478acf46796cf56b622699" dmcf-pid="z9gSLyWIZa" dmcf-ptype="general">최근 개인정보보호위원회가 개인정보 유출과 무단 소액결제 사고를 일으킨 KT에 과징금 540억원을 부과하자 정보보호 업계에서 “과징금 산정 방식이 상식적이지 않다”는 비판이 나오고 있다.</p> <p contents-hash="0fe42ddf43052383a82125cbaa8051290fe55f5ec0a66f5c5638f392fc961bfd" dmcf-pid="q2avoWYCtg" dmcf-ptype="general">개인정보 유출로 1347억원의 과징금을 받은 SK텔레콤과 달리 KT는 증거 은폐 정황이 드러나고 실제 금융 피해까지 발생했는데도 과징금이 훨씬 적다는 것이다.</p> <p contents-hash="90a1acc1b9732ca1ea8b0087f633b1a6436042205d3063261a4fa7dcc7aaf6de" dmcf-pid="BVNTgYGhGo" dmcf-ptype="general">보안업계 고위 관계자는 3일 본지에 “이번 결정은 해킹을 당하면 증거를 없애는 편이 유리하다는 잘못된 신호를 준 것이나 다름없다”며 “확인된 정보 유출 규모만을 기준으로 과징금을 매기는 방식도 비합리적”이라고 했다.</p> <p contents-hash="d5d6ce9870d58a7562f44551bbfc7912dd49d3598d3fbd0bfed192a8a5cf5c8f" dmcf-pid="bfjyaGHlGL" dmcf-ptype="general"><strong>◇증거 없애면 과징금 줄어드나</strong></p> <p contents-hash="cf8f2f9fe30760c30d7b07fefb52eb17038b9cdf2c6680ec78a7fc5441b11295" dmcf-pid="K4AWNHXSGn" dmcf-ptype="general">지난해 KT 해킹 사고를 조사한 민관합동조사단은 KT 서버 94대에서 악성코드 103종이 감염된 사실을 확인했다. KT는 2024년 3~7월 감염 서버(41대, 악성코드 26종)를 확인했는데도 정부에 신고하지 않았다는 사실이 드러났고, 지난해 5~9월 해킹된 서버 53대에서도 악성코드 77종이 발견됐다.</p> <p contents-hash="934e03411956004baf7dcf646c74e162e01f55f0afa77670de18f791648a94e0" dmcf-pid="98cYjXZvYi" dmcf-ptype="general">그러나 KT가 시스템 로그(서버의 접속·작동 내역을 기록한 자료) 보관 기간을 불과 1~2개월로 설정한 탓에 정확한 개인정보 유출 여부와 규모는 확인하지 못했다. 해킹 흔적을 추적할 핵심 자료가 사라진 것이다.</p> <p contents-hash="4929f8b4bc61540537635e2dcd257734339dc6af4de90274bdfb221f3e6ec3ff" dmcf-pid="26kGAZ5TGJ" dmcf-ptype="general">증거 은폐 정황도 드러났다. 개보위에 따르면 KT는 2025년 4월 별도 악성코드 감염 사고를 점검하면서 침해 서버 10대의 로그를 삭제했다. 개보위 조사 초기에는 보존 자료가 없다고 진술했다가 디지털포렌식에서 삭제 정황이 확인되자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출했다. 개보위는 이를 조사 지연·방해 행위로 판단해 KT를 고발하기로 했다.</p> <p contents-hash="9b6da4e698e5275b03a4bb459db747afe2a7abb7bc9e3c11cc7cd92aa6eb1261" dmcf-pid="VPEHc51yXd" dmcf-ptype="general">추가 유출 여부를 규명하지 못하면서 개보위가 최종적으로 확인한 피해는 펨토셀 해킹으로 KT 이용자 1만6647명의 개인정보가 유출되고, 이 가운데 368명이 2억4000만원의 무단 소액결제 피해를 본 데 그쳤다. 과징금도 이렇게 확인된 피해 규모를 토대로 산정됐다.</p> <p contents-hash="5539643dcbf88a1c8d94402a08fd95229fbc75426edaa838838943c7c04ea7f4" dmcf-pid="fQDXk1tWYe" dmcf-ptype="general">반면 개보위는 지난해 5월 가입자 2324만여 명의 개인정보가 유출된 SK텔레콤에는 과징금 1347억원을 부과했다. SK텔레콤에서는 서버 28대에서 악성코드 33종이 발견됐다. 보안업계에서는 “KT에서 훨씬 많은 서버와 악성코드가 확인됐는데도 자료가 남아 있지 않아 피해 규모를 규명하지 못했고, 그 결과 과징금까지 줄어들었다”는 지적이 나온다.</p> <p contents-hash="9b018541ab1a4d53cdfd615879eb2164f4f7b413833ecec004736524e9f887c5" dmcf-pid="4xwZEtFYGR" dmcf-ptype="general">게다가 관련 서버의 운영체제(OS)를 재설치하거나 서버를 폐기한 LG유플러스는 정확한 유출 경위와 규모 등을 확인하지 못해 아직 과징금을 비롯한 행정 제재를 받지 않았다. 개보위는 다만 서버 재설치·폐기 행위를 공무집행방해로 판단해 수사기관에 수사를 의뢰했다.</p> <p contents-hash="54749b46cc6b38d650fb95e073a3d60736b0743d7fc2dc30513e812b727f438a" dmcf-pid="8LlUCzqFHM" dmcf-ptype="general">위반행위의 중대성 판단에도 논란이 일고 있다. 금융 피해가 없었던 SK텔레콤 사고는 ‘매우 중대한 위반행위’로 분류됐지만, 무단 소액결제 피해가 발생한 KT 사고는 한 단계 낮은 ‘중대한 위반행위’로 평가됐다는 것이다. KT의 경우 다수 가입자의 문자·음성 통화 탈취까지 가능했던 것으로 드러나기도 했다.</p> <p contents-hash="46b72600b67dfdacfdc85faa3309705f0f60b979a68861248a1fe74fd60a9c0d" dmcf-pid="6oSuhqB3tx" dmcf-ptype="general">보안업계 관계자는 “무단 소액결제 사고와 도청 위험 노출은 국내에서 발생한 적이 없는 피해 유형이었다”며 “단순히 확인 가능한 데이터 유출 규모만으로 위험성을 판단해 과징금을 부과하는 것은 납득하기 어렵다”고 했다.</p> <p contents-hash="da2dfe3c06becc7c7fbe021e51eabcb28db9972d9d506da832cba72701390e9c" dmcf-pid="Pgv7lBb0GQ" dmcf-ptype="general"><strong>◇은폐 처벌 강화, 실효성은 의문</strong></p> <p contents-hash="80b64900754bbb1553fd70a2ccc168ae92efc5104fdf2fe66378a42e2e329327" dmcf-pid="QaTzSbKpGP" dmcf-ptype="general">보안업계에서는 이번 결정이 개인정보를 다루는 기업들에 ‘증거를 숨기거나 폐기하면 처벌을 피하거나 줄일 수 있다’는 잘못된 신호를 줄 수 있다고 우려한다.</p> <p contents-hash="221d23a12d14a587577b8072b738a4caeed97ce19d235711a5c0928650f07cd7" dmcf-pid="xNyqvK9U16" dmcf-ptype="general">실제로 SK텔레콤은 해킹 사고를 자진 신고한 이후 신규 가입 영업 정지 처분과 함께 위약금 면제, 해킹 보상안까지 내놓으면서 지난해 3·4분기에는 배당금 지급도 할 수 없었다. 반면 KT는 영업 정지 처분을 받지 않았고, LG유플러스는 아무런 제재를 받지 않았다.</p> <p contents-hash="751b6db2abd5ade8f1920ec476d3cb128134a2c4525c69ece5c3f7e9b0d8d909" dmcf-pid="y0xDPmsAZ8" dmcf-ptype="general">개보위는 이런 제도적 허점을 막기 위해 조사 착수 전 증거를 은닉·폐기한 행위도 형사처벌하고, 전체 매출액의 최대 3%를 과징금으로 부과하는 방안을 추진하기로 했다. 오는 10월부터 시행되는 개정 정보통신망법에 따라 정부가 기업 신고 없이 직권 조사에 나설 수 있는 장치도 마련된다. 침해 사고 정황이 명백하거나 국민적 피해가 우려되는 중대한 사고가 대상이다.</p> <p contents-hash="89b3e59d54017fc716363b1365b91247cf6b4cfd89f7eaa6d84e8e22688a34ed" dmcf-pid="WpMwQsOcG4" dmcf-ptype="general">다만 실효성 확보에는 의문이 제기된다. 국내 대기업의 보안 담당 임원은 “기업은 해킹 가해자가 아니라 일차적으로 피해자인데도 자진 신고에 따른 감면이나 우대 조치가 없다”며 “자진 신고를 하든 은폐 사실이 적발된 뒤 과징금을 내든 결과가 비슷하다면 어느 기업이 먼저 신고하겠느냐”고 했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 조선일보. 무단전재 및 재배포 금지.</p> 관련자료 이전 통신 3사, 갤럭시 Z8 개통 시작… “예약자 62%는 일반폰서 폴더블로” 08-04 다음 "내 메일·사진까지 AI가 활용?"…'제미나이' 쓸 때 개인정보 지키는 법 08-04 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
