고학수 위원장 밝혀…“늑장 통지도 굉장히 유감”
고학수 개인정보보호위원회 위원장이 21일 서울 중구 은행회관에서 열린 ‘개인정보 정책포럼’에서 기자들의 질문에 답변하고 있다. 개인정보보호위원회 제공
개인정보보호위원회가 에스케이(SK)텔레콤 가입자 정보 유출을 조사하면서, 유출된 정보가 싱가포르로 흘러간 정황을 확인했다고 밝혔다. 개인정보위는 과학기술정보통신부가 주도하는 민관합동조사단과 별도로 개인정보 유출 관련 조사를 하고 있다.
고학수 개인정보위원장은 21일 서울 중구 은행회관에서 열린 ‘개인정보 정책포럼’에서 기자들과 만나 “에스케이텔레콤 홈가입자서버(HSS)에 있던 가입자 데이터가 과금정보 관리 서버(WCDR)를 거쳐 싱가포르 인터넷주소(IP)로 넘어간 흔적이 있었다”며 “해당 인터넷주소가 누구에 의해 통제되는지에 대해선 파악이 쉽지 않다”고 말했다. 고 위원장은 “국제 공조도 필요한 상황이며 (조사 결과 발표까지) 시간이 더 걸릴 것”이라고 덧붙였다. 정부 쪽 인사가 가입자 정보의 해외 유출 흐름을 공개한 것은 이번이 처음이다. 그간 업계에선 중국·북한 해커 소행설만 나왔다.
고 위원장은 최근 개인정보위 조사 과정에서 이름·생년월일·주소·단말기 식별번호(IMEI) 등 총 238개 항목(컬럼 기준)의 정보가 저장된 통합고객인증시스템(ICAS) 서버도 악성코드에 감염된 것을 발견한 것과 관련해 “그 서버(통합고객인증시스템 서버)가 악성코드에 감염됐다는 것 자체가 불안 요소가 많은 상황”이라며 “(은닉성이 높지 않은 일반적인 악성코드인) 웹쉘 공격을 3년이 되도록 몰랐다는 건 문제의 심각성을 방증한다”고 했다.
고학수 개인정보보호위원장. 김경호 선임기자 [email protected]
고 위원장은 또 지난달 22일 가입자 정보 유출 사실을 발표한 에스케이텔레콤이 지난 9일에서야 개별 이용자에게 유출 사실을 문자 메시지로 통지한 것에 대해서도 “굉장히 유감이 많다”며 “그때까지 통지를 안 한 것도 문제이고, 통지 내역에 ‘유출 가능성을 추후 알리겠다’고 표현한 것, 법에서 요구하는 내용에 부합하지 않는 것도 있었다”고 에스케이텔레콤을 정조준했다. 그는 이어 “어마어마한 피해는 이미 발생한 것”이라며 “(에스케이텔레콤이) 복제폰 생성 등 2차 피해가 생겨야 진짜 피해가 생긴 것처럼 말하는 것은 잘못된 것”이라고도 했다.
고 위원장이 과기정통부 등에 견줘 강도 높게 에스케이텔레콤을 비판한 건 기관의 성격과 관련이 깊다. 과기정통부는 산업 진흥 부처인 반면 개인정보위는 산업 진흥 과정에서 가벼이 취급될 수 있는 ‘개인정보 보호’에 더 무게를 두는 기관이다. 개인정보위가 정부 내에서 산업 진흥 부처를 견제하는 구실을 한다는 뜻이다. 개인정보 보호에 대한 중요성이 높아지면서 지난 2020년 8월 행정안전부 산하 위원회에서 장관급 독립 부처로 위상이 강화됐다.
고 위원장은 앞으로 에스케이텔레콤에 부과될 과징금 규모에 대해 “과징금 산정은 마지막 단계에 가서야 이뤄질 것”이라면서도 “전체 상황이 종료되면 개별 이용자에 대한 통지 문제도 처분 과정에서 고려하겠다”고 말했다.
한편, 국회입법조사처는 이날 보고서를 내어 에스케이텔레콤 사고를 계기로 이동통신사에 정보보호 예산을 관련 예산의 일정 비율 이상으로 의무화하는 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(정보통신망법) 개정이 필요하다고 주장했다. 보고서는 이동통신 1위 사업자인 에스케이텔레콤이 취급하는 정보의 양과 특성에 견줘 정보보호에 대한 투자가 소극적이었다고 지적했다.