뉴스이야기
[기업의 보안 책임을 강화한 정보통신망법 및 개인정보보호법 개정안]
2026-09-11
SKT 해킹, 사실상 전 가입자 유심정보 털렸다...2695만건 유출
SK텔레콤의 개인정보 유출 사건을 조사 중인 과학기술정보통신부·한국인터넷진흥원(KISA) 등 민관 합동 조사단이 19일 오전 11시 서울정부청사에서 조사 중간 결과를 발표했다. 이날 발표는 지난달 29일 1차 조사 결과 발표에 이어 두 번째다. 당시 과기정통부는 “공격받은 정황이 있는 서버 5대를 조사한 결과 전화번호·가입자 식별키(IMSI) 등 유심 정보 25종이 유출됐고, 단말기 고유식별번호(IMEI) 유출은 없었기 때문에 복제폰 우려는 없다”고 밝혔다.
하지만 이날 과기부가 밝힌 2차 조사 결과 해킹 피해 규모는 당초 발표했던 것보다 더욱 큰 것으로 드러났다. 악성코드에 감염된 서버는 현재까지 총 23대로 기존 5대 대비 18대 더 늘어났다. 해킹에 사용된 악성코드도 총 25종까지 늘어났다. 과기정통부는 1차 발표 당시 악성코드가 4종 사용됐다고 했고, 이후 8종이 추가로 발견됐다고 밝혔는데 이번에 13종이 더 발견된 것이다.
특히 유출된 유심 정보는 IMSI 기준 2695만7749건에 달한 것으로 확인됐다. SK텔레콤 가입자와 알뜰폰 이용자를 합친 전체 고객이 2500만 명인데 이보다 더 많은 정보가 유출된 것이다. 이에 따라 SK텔레콤에서 KT나 LG유플러스 등으로 이전한 가입자의 정보가 유출된 정보에 포함돼 있을 가능성이 제기된다. 단 SK텔레콤 측은 이에 대해 “스마트폰 외에 스마트워치, IoT(사물인터넷) 등 각종 단말기에 탑재된 유심을 모두 합친 수”라며 “이전 가입자 정보는 유출되지 않았다”고 했다.
여기에 더해 기존 조사에서는 유출되지 않았다고 했던 IMEI를 포함, 이름, 생년월일, 전화번호, 이메일 등 개인정보가 추가로 유출됐을 가능성이 제기됐다. 악성코드에 감염된 서버들 중 이런 정보를 임시 보관하는 서버가 2대 확인됐기 때문이다. 이 서버에 저장된 파일 중에는 총 29만1831건의 IMEI가 포함돼 있었다. 조사단 조사 결과 지난해 12월부터 지난달까지는 자료 유출이 없었고, 29만 건의 IMEI도 유출되지 않은 것으로 확인됐다. 하지만 이 서버에 악성코드가 설치된 시점인 2022년 6월부터 지난해 12월까지는 자료 유출 여부가 확인되지 않았다.
ㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡㅡ
최근 사회적 파장이 큰 대규모 정보통신망 침해와 개인정보 유출 사고가 빈번해짐에 따라, 기업의 보안 책임을 재정의하는 법적 변화가 시작되었습니다. 2025. 12. 3. 「정보통신망법(정보통신망 이용촉진 및 정보보호 등에 관한 법률)」 개정안이, 2025. 12. 17. 「개인정보보호법」 개정안이 각각 국회 문턱을 넘었습니다. 위 개정안들은 공포 후 6개월에서 1년의 유예 기간을 거쳐 2026년부터 본격적으로 시행됩니다.
그에 따라 기업의 보안 책임은 단순한 실무 부서의 과제를 넘어 기업의 생존과 직결된 ‘거버넌스’의 핵심 요소가 되었습니다. 이하에서는 그 구체적인 내용을 살펴보겠습니다.
POINT 1. CISO(정보보호 최고책임자)와 CPO(개인정보 보호책임자)의 위상 강화
이번 개정안의 가장 큰 특징은 보안책임자를 실무진에서 이사회와 대표자 등 경영진 수준으로 격상시켰다는 점입니다. 단순히 관리자를 두는 것에 그치지 않고, 이들이 실질적인 권한을 행사할 수 있도록 법적 장치를 마련하였습니다.
첫째, 정보통신망법 개정안에 따라 일정 기준 이상의 정보통신서비스 제공자는 CISO(정보보호 최고책임자)를 위원장으로 하는 '정보보호위원회'를 설치하여야 합니다. 또한, CISO는 정보보호에 필요한 인력 관리 및 예산 편성 권한을 갖고, 정보보호 현황 및 주요 사항의 이사회 직접 보고의무를 부담하게 됩니다.
둘째, 개인정보보호법 개정안은 사업주 또는 대표자를 '최종 책임자'로 명시하는 한편, 일정 기준에 해당하는 개인정보처리자에 대하여 CPO(개인정보 보호책임자)의 임면 시 반드시 이사회 의결을 거치도록 하였습니다. 이것은 CPO의 독립성과 실질적인 의사결정 권한을 보장하기 위함입니다.
POINT 2. 정보보호수준 평가 및 공개
과학기술정보통신부장관은 사업의 종류, 매출액 규모, 이용자의 수 등이 일정 기준에 해당하는 사업자를 대상으로 매년 정보통신망의 안정성 및 정보의 신뢰성 수준을 평가하여야 하는데, 정보보호수준 평가 및 공개로 사업자들의 보안 역량이 상시적으로 지표화되어 사업자들 상호 간 보안 역량의 수준을 비교할 수 있게 됩니다.
정보보호수준 평가의 결과가 인터넷 홈페이지 등을 통하여 공개될 수 있기 때문에, 기업에 미치는 파급력이 상당할 것으로 보입니다. 보안 수준이 낮은 기업은 단순한 규제 위반을 넘어 브랜드가치 하락과 고객 이탈이라는 문제에 직면하게 될 것입니다.
POINT 3. 유출 '가능성'만으로도 통지의무 발생
개인정보보호법 개정안을 통하여 개인정보처리자에게 개인정보의 유출 ‘가능성’만으로도 정보주체에게 통지할 의무를 부과함으로써 기업의 초기 대응 프로세스에 큰 변화가 초래되게 됩니다. 기존에는 개인정보의 유출 사실이 확정된 후에야 통지의무가 발생했으나, 이제는 유출 ‘가능성’만으로도 통지의무가 발생하는 것입니다.
POINT 4. 매출액의 10%, 기업 존립을 위협하는 징벌적 과징금
기업에 가장 강력한 영향을 미치는 변화는 개인정보 침해 시 부과되는 과징금의 수위입니다. ‘사고 수습비보다 보안 투자가 더 비싸다.’라는 계산법은 더 이상 통용되지 않습니다.
개인정보보호법 개정안에는 반복적이거나 중대한 침해사고에 대해 <직전 3개년 사업연도 연평균 매출액의 10%>를 과징금으로 부과할 수 있도록 규정되었습니다. 단, 매출액 산정 시 ‘위반행위와 관련 없는 매출액’은 제외됩니다. 10% 과징금의 구체적인 적용기준은 다음과 같습니다.
1. 반복적 위반 : 고의·중과실로 3년 이내에 재위반한 경우
2. 대규모 피해 : 고의·중과실로 정보주체의 피해 규모가 1,000만 명 이상인 경우
3. 시정조치 명령 불이행 : 시정조치 명령을 따르지 않아 개인정보가 분실·도난·유출·위조·변조·훼손된 경우
다만, 고의·중과실이 있는 경우를 제외하고 예산·인력·설비·장치 등에 성실히 투자한 경우에는 과징금을 감경될 수 있습니다.
한편, 정보통신망법 개정안에 의하면, 고의·중과실로 침해사고가 5년 이네의 기간 동안 2회 이상 발생한 경우에는 연간 매출액의 3% 이하의 과징금이 부과될 수 있습니다.
결론 : 규제를 넘어선 '신뢰'의 비즈니스
2025년에 시행될 정보통신망법 개정안, 개인정보보호법 개정안이 지향하는 바는 명확합니다. 사고 후의 수습이 아니라 “경영진 주도의 사전 예방”으로 보안의 패러다임을 전환하라는 것입니다. 법적 강제성을 넘어 고객의 신뢰를 확보하는 것, 그것이 바로 기업이 나아갈 방향입니다.
#정보통신망법
#개인정보보호법
#개인정보
#개인정보 유출
#해킹
#기업의보안책임
☞ 자세한 내용은 아래 블로그 링크를 통해 확인 부탁드립니다.
