사고 인지부터 공지까지 4일 지연
회사 늑장 대응에 법적·도의적 책임 불거져
유영상 재임 중 보안 관련 무형자산 투자 축소 뚜렷
[스트레이트뉴스 이재영 기자] SK텔레콤 유심 해킹 사태는 인재였다는 비판의 목소리가 높아지고 있다. 과거 개인정보 유출 사고에 비해 유심정보 유출은 심각한 2차 피해를 야기할 수 있음에도, 사측의 늑장 대응이 지적되고 있다.
29일 정치권 등에 따르면 전날 강민국 국민의힘 의원은 국회 정무위 현안질의에서 “저는 이 게 인재라고 보고 있다”며 “사고 인지가 4월18일인데 공식 공지(4월22일)까지 4일이 지연됐다”고 했다. 이어 “개인정보유출 신고 법정기한이 과기부는 24시간, 개인정보위는 72시간인데 이것을 초과 신고해서 정보통신망법 위반 논란도 있는 것”이라고 했다.
강 의원은 “SKT가 4월25일 기자회견 통해 전 고객 대상 무상 유심 교체 발표했는데, 기자회견 직후 일선 대리점에서 일제히 ‘유심 재고 없다’는 안내문을 붙였다”며 “이 게 뭐하는 데냐”고 했다.
그는 특히 “SKT가 지난해 정보보호 투자비로 2022년에 비해서 약 4%를 감액시켰는데, 같은 시기 KT는 19%를, 개인정보보호 투자를 1218억원으로 증가시키고, LG유플러스도 292억에서 632억 무려 116%까지 투자비를 늘린 것과는 완전 대비된다”며 “최태원 회장 이런 분들 재벌회장 놀이할 때 국민들이 피해를 보고 있는 것”이라고 했다.
유영상 SK텔레콤 대표는 2021년 11월1일 이사회 결의로 대표이사에 올라 현재까지 3년여간 재직 중이다. 그 사이 매출과 영업이익 등 실적과 이익률이 상승했다. 그런데 보안과 관련된 무형자산 투자 등 비용을 줄인 흐름이 뚜렷했다. 무형자산 처분액은 2023년 44억원에서 2024년 327억원으로 늘었다. 무형자산 취득액은 2022년 1381억원, 2023년 1068억원, 2024년 719억원으로 3년간 줄었다.
이번 사태로 인해 SK텔레콤은 법률적, 윤리적 책임이 불거졌다. 정보 보호 조치를 취해야 할 사업자로서 이러한 의무를 소홀히 해 유심 해킹 사태가 발생했다면, 정보통신망법과 개인정보보호법 책임 등이 발생할 수 있다. 해킹 피해를 입은 이용자들이 집단 소송 움직임을 보여 손해배상이 청구될 것도 관측된다.
대표이사는 최고 의사결정권자로서 정보 보안 시스템 구축 및 운영 전반에 대한 궁극적 책임을 진다. 이에 따라 이번 사태에 대한 도의적 책임도 피하기 어렵다. 늑장 대응했다는 지적은 최고 경영자의 위기 관리 능력 부재로 이어질 수 있다. SK텔레콤은 기자회견일인 25일 블록딜로 카카오 지분을 처분해 4133억원을 확보했는데, 사태 수습을 위한 비용 지출로 연결될 것이란 전망도 나온다. 단기 실적엔 지분 처분 현금이 피해 보상 지출을 메꾸겠지만 자산 손상은 피하기 어렵다는 지적이다.
SK텔레콤은 매년 ISMS(정보보안관리시스템) 인증을 받았으나, 이런 제도 역시 허점을 드러냈다. ISMS 인증은 기업이 정보 자산을 안전하게 관리하고 보호하기 위한 일련의 활동과 시스템이 국가 공인 인증 기준에 적합함을 증명하는 제도다. 정보통신망법에 따라 기업은 보안 조치를 취해야 하고 암호화 솔루션을 구매하거나 개발하는 데 비용이 발생하며, ISMS 인증을 획득하고 유지하는 데도 상당한 투자가 필요하다.
그 때문에 산업계에선 ISMS 인증 의무 대상 범위를 축소하거나 인증 기준을 완화해야 한다는 요구가 있었다. 과도한 규제가 혁신을 저해하고 경영 부담을 가중시킨다는 이유였다. 하지만 이번 사태로 정보 보안 규제 강화 후폭풍도 예견되는 상황이다. 현재 보안 규제가 너무 포괄적이라 실효성이 떨어진다는 지적이 나온다.
SK텔레콤 통신 가입자 A(경남 진주 63세)씨는 “2시간 줄서서 겨우 유심칩을 바꿨다”며 “남편 것은 바꾸지도 못해 임시방편을 알아보는 중”이라고 했다. 가입자 B(경기도 수원 49세)씨는 “유심보호서비스에 가입하려는 데 접속자가 너무 많다”며 “가까운 대리점 유심칩 교체 신청했는데 언제 올지, 직장일도 바쁜데 이런 일에 신경쓸 여력이 없고 금전 피해를 볼까 불안하다”고 했다.
김대종 세종대 경영학과 교수는 “보안 투자 감소는 보안에 대한 경영진의 인식 부족을 반영하는 것으로 보인다”며 “SK텔레콤은 같은 기간 인공지능(AI)과 클라우드 등 신사업에는 공격적으로 투자해, 최근 3년간 해당 분야에 1조2000억원 이상을 쏟아부었다”고 했다. 이어 “현재 SK텔레콤은 후속 보완 조치와 함께 향후 보안 예산 증액을 검토 중인 것으로 알려졌으나, 이미 사고가 발생한 상황에서 뒤늦은 대응이 얼마나 신뢰 회복으로 이어질 수 있을지는 미지수”라고 했다.
박상인 서울대 행정대학원 교수는 “보안이나 개인정보 보호에 대한 사전적 규제도 문제가 있고 강한 민형사 처벌을 통한 기업 자율적 준수도 사실상 없음을 보여준 것”이라고 말했다.