SK텔레콤, 유심 정보 유출 '운명의 심판'···3천억 과징금 현실화하나

개인정보위 27일 전체회의서 SKT 해킹 제재안 심의

안전조치 위반 여부가 관건, 최대 3831억원 부과 가능

SKT 피해 보상 노력 감안 시 1000억원 수준 그칠지도

SK텔레콤 유심(USIM) 정보유출 사태에 대한 징계(과징금) 수위가 결정되는 '운명의 날'이 왔다. 핵심 쟁점은 SK텔레콤이 '안전조치 의무'를 제대로 이행했는지 여부다. 최대 과징금은 3800억원에 이를 수 있지만 업계에선 피해 보상과 재발 방지 노력을 감안해 1000억원 안팎으로 조정될 가능성이 높다는 관측이 나온다.

유영상 SK텔레콤 대표이사가 지난달 서울 중구 SK텔레콤 본사에서 열린 사이버 침해 사고 관련 기자회견에서 자사 입장 및 향후 계획 등의 발표를 마친 뒤 취재진의 질문을 경청하고 있다. 사진=강민석 기자 [e-mail]

개인정보보호위원회는 27일 오후 2시 정부서울청사에서 비공개 전체회의를 열고 SK텔레콤에 대한 제재안을 심의한다. 지난 4월 해킹 사태 발생 이후 약 5개월 만이다.

앞서 개인정보위는 조사를 마치고 지난달 말 SK텔레콤에 사전통지서를 발송했다. 이 문서에는 위반 사실, 적용 법령, 예정된 처분 내용, 의견 제출 기한 등이 포함됐다.

과징금 규모는 위원회 논의를 거쳐 최종 확정되며 자료 보완이 필요하다고 판단되면 결정이 연기될 수 있다.

민관합동조사단은 SK텔레콤 전체 서버 4만2605대를 점검한 결과 전화번호와 가입자 식별번호(IMSI) 등 유심 관련 개인정보 25종, 총 9.82GB가 유출된 것으로 파악했다. IMSI 기준으로는 약 2695만건으로 사실상 전체 가입자 규모에 해당한다.

조사에서는 보안 관리상의 심각한 문제도 드러났다. SK텔레콤은 음성통화 인증(HSS) 서버 계정 정보를 다른 서버에 평문으로 저장했고 유심 인증키도 암호화하지 않았다. 2022년 특정 서버에서 악성코드 감염을 인지하고도 이를 신고하지 않은 사실도 확인됐다.

개인정보보호법상 '안전조치 의무' 위반 시 과징금은 관련 매출의 최대 3%까지 부과된다. SK텔레콤의 해당 사업(무선통신) 매출은 작년 기준 12조7700억원으로, 최대 과징금은 3831억원에 달한다.

고학수 개인정보위 위원장은 지난 4월 국회에서 "과거 KT나 LG유플러스 사건보다 더 중대한 상황"이라며 강경한 입장을 밝힌 바 있다. 최근에도 기자들과 만나 "엄중히 처벌하겠다"고 강조했다.

다만 SK텔레콤이 사고 이후 피해 보상 및 재발 방지 대책을 적극 마련한 점이 고려될 경우 실제 과징금은 1000억 원 수준으로 조정될 가능성이 크다는 분석이 우세하다.

참고로 개인정보위가 지금까지 부과한 최대 과징금은 2022년 구글과 메타에 부과한 1000억원이며 개인정보 유출 사건 기준 최대 과징금은 2023년 카카오에 부과한 151억원이었다.