산업국 박진희 부국장
SK텔레콤(SKT) 유심 사고 이후 분위기를 보면 국내외 모든 개인정보유출 사고의 책임이 SKT에만 있는 것처럼 보인다. 유심 정보 유출 인지 시점부터 사고 수습 및 신뢰 회복을 위해 달려온 SKT에는 정부의 위약금 면제 명령이 떨어졌다. 징벌적 조치에 집중한 정부는 결과를 손에 쥔 셈이다. 하지만 우리 국민의 개인 정보는 SKT에만 있는 게 아니다.
니어미스라고 있다. 항공기 간 근접 비행으로 충돌 위험이 있었으나 실제 충돌은 발생하지 않은 상황을 말한다. 항공 분야에서는 이를 준사고로, 산업 현장에서는 아차사고로 불린다. 중대재해 예방을 위한 신고제 운영 대상이기도 하다. 급박한 회피로 인한 승객 사상 가능성이 있는 탓이다. 니어미스는 신고와 함께 예방을 강조하고 있다. 당장의 피해는 없으나 반복 시 큰 사고로 이어질 수 있기 때문에 신고 및 분석이 필수다.
SKT 유심 사고로 돌아가 보자. 개인정보 유출 사고는 사고 기업의 신고로부터 시작된다. 지난 4월 SKT가 유심 해킹 사실을 인지하고 24시간 이내 관련 당국에 신고를 하지 않았다는 것을 시작으로, 이달 위약금 면제 명령을 받기까지 2개월이 넘는 기간 동안 ‘국민 죄인 기업’이 됐다. 가입자 수가 많은 만큼 피해자가 많은 것도 사실이다. 그렇기에 SKT는 정부와 여론의 처분을 받아들이고 있다. ▲가입자 전원 유심 무료 교체 ▲신규 영업 중단 ▲위약금 면제 등 통신사로서 할 수 있는 책임은 다 감수하고 있는 것으로 보인다. 여기에 1년 치 영업이익이 통째로 투입된다. 2023년 영업이익이 1조 7000억원 가량인 것을 감안하면 SKT는 유심 해킹 사고 수습 및 소비자 신뢰 회복에 조 단위의 돈을 쏟아 붓고 있는 것이다.
그럼 SKT로부터 사고 신고를 받은 정부는 무엇을 하고 있었을까. 2개월 넘는 시간 동안 여론과 정부가 SKT 죄인 만들기에 몰두하고 있는 사이 무엇이 예방됐나. 사고 분석에는 SKT가 민관합동조사기구와 함께 나서고 있다. 조사 결과가 나올 때마다 SKT는 또 다시 죄인이 되고 있는 모양새다. SKT는 결국 사고를 스스로 고백하고, 비용과 인력을 투입해 원인을 분석해 결과를 내놓고, 그 결과로 인해 또 다시 광장에서 돌을 맞는 행위를 반복하고 있는 셈이다.
정부가 SKT를 향해 징벌적 조치만을 취하고 있는 사이에도 개인정보유출은 계속 이어지고 있다. 6월에만 샤넬과 루이비통, 티파니 등 명품 3사, 파파존스, 서브웨이 등 외식업체에서 고객 정보가 털렸다. 이 중에는 사고 후 한 달 여를 방치했다가 신고한 기업도 포함돼 있다.
예방은 뒷전이고 징벌에만 몰두하는 정부 처분에 어떤 기업은 신고 기한을 넘기더라도 사고 사실을 숨기고 싶을 것이다. 벌금 3000만원이 전부라면 모험을 걸어볼만 하지 않은가. 기업 입장에서 보면, SKT와 같이 1년 치 영업이익을 통째로 내놓는 것보다 사고를 숨기는 것이 나은 선택지로도 보인다.
징벌적 조치만으로는 기업의 잘못된 선택을 유도 할 수 있다. 아울러 같은 사고를 예방할 수 없다. 정부는 이제라도 개입해 개인정보유출을 막을 수 있는 예방 시스템을 갖추는 데 더 몰두해야 한다. 해킹 사고는 더 이상 개별 기업의 역량에만 의존할 문제가 아니다. 정부가 함께 하는 민관예방 시스템이 선제된 후 개별 기업의 예방 시스템을 점검 및 관리감독 해야 한다. 해커는 진화한다. 빠르게 영리해지고 있는 해커에 각개 전투로 맞설 수는 없는 노릇이다.
한국인터넷진흥원에 따르면 유심 해킹 사고를 당한 SKT는 2021년부터 2024년까지 4년 동안 정보보호 투자액만 3448억원이다. 전체 기업 순위로 보면 세 번째로 많은 투자액이다. 통신사만 놓고 보더라도 4524억원을 투입한 KT의 뒤를 잇는다. 반전이지 않은가? SKT가 정보보호는 뒷전이었다는 언론 보도를 수도 없이 접했다. 그런데 전체 기업 중 3번째로 많은 금액을 투자하고 있었다고 한다. LG유플러스의 경우 2194억원으로 전체기업 중 6번째다. 정보보호에 가장 많은 투자를 한 삼성전자만 유일하게 조 단위를 넘겼다. 4년간 정보보호 투자액 순위 11위인 국민은행까지가 천억원 단위의 비용을 쓸 뿐 12위부터는 800억원 대로 떨어진다.
정보보호 투자액 상위 기업조차 속수무책으로 당하는 시대다. 정부는 해커의 진화를 위협으로 받아들이고 이제라도 기업들과 협력해 재발 방지에 총력을 다 해야 한다. 징벌로는 해커를 이길 수 없다.