SKT 1348억 역대 최대 과징금…개보위 "기본 보안 조치 소홀"

개인정보위 27일 전체회의 개최
"해커 불법 침입에 매우 취약"
CPO 개인정보 업무 총괄 시정명령

개인정보보호위원회가 지난 4월 해킹 사태로 개인정보 유출이 발생한 SK텔레콤 에 역대 최대 규모인 1348억원의 과징금을 부과했다. SKT의 매출액이 크고 안전 조치 의무 위반 정도가 커 유출 사고의 직접적 원인이 된 점 등이 종합적으로 고려됐다.

고학수 개인정보위원장이 28일 서울 종로구 정부서울청사에서 SK텔레콤 개인정보 유출사고에 대해 제재처분을 발표하고 있다. 개인정보위는 이날 과징금 1347억 9100만원과 과태료 960만원을 부과했다. 2025.8.28 조용준 기자

개인정보보호위원회는 전날인 27일 전체회의에서 SKT에 과징금 1347억9100만원과 과태료 960만원을 부과했다고 28일 밝혔다. 2022년 구글·메타에 총 1000억원을 부과한 이후 역대 최대다. 고학수 개인정보위 위원장은 "이번 사건을 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력의 투입을 필수적인 투자로 인식하길 바란다"고 말했다.

개인정보위는 3개월간의 집중조사를 통해 SKT의 LTE·5G 서비스 전체 이용자 2324만4649명(알뜰폰 포함)의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키 등 25종의 정보가 유출된 것으로 확인했다. 개인정보위는 이번 사태가 "SKT의 기본적인 보안 조치 미비와 관리 소홀로 인해 발생했다"면서 "인터넷과 내부망 사이의 보안 운영 환경이 해커의 불법 침입에 매우 취약한 상태로 관리됐다"고 밝혔다.

해커가 SKT 내부망에 최초 침투한 시점은 2021년 8월로 다수 서버에 악성프로그램을 설치했고, 2022년 6월에는 통합고객인증시스템(ICAS) 내에도 악성프로그램을 설치했다. 이후 지난 4월 홈가입자서버(HSS) 데이터베이스에 저장된 이용자의 개인정보를 외부로 유출했다.

SKT는 2022년 2월 해커가 HSS 서버에 접속한 사실을 확인했음에도 악성프로그램 설치 여부 등을 점검하지 않아 이번 사태를 방지할 기회를 놓친 사실이 확인됐다. 기본적인 보안 업데이트도 소홀했다.

역대 최대 과징금 배경에 대해 개인정보위 관계자는 "유출 규모가 크고 위반기간이 오래된 점 등이 반영됐다"고 설명했다.

개인정보위는 또 개인정보 처리 현황을 면밀히 파악해 안전조치를 강화하고, 개인정보보호책임자(CPO)가 회사 전반의 개인정보 처리 업무를 총괄할 수 있도록 거버넌스 체계를 정비할 것을 시정명령했다. SKT 측은 "의결서를 받아본 뒤 향후 대응 방안을 검토하겠다"고 말했다.

김보경 기자 bkly477@asiae.co.kr