국회는 집단소송법 연내 제정하고 징벌적 손해배상제 도입하라 -
개인정보보호위원회(개보위)의 최근 조사 결과는 이통3사의 보안체계와 개인정보 보호, 내부통제가 총체적으로 부실했음을 보여준다.
개보위는 지난해 SKT의 유심·개인정보 유출사고 제재 조치에 이어서, 오늘(7/30) KT의 불법 이동기지국(펨토셀) 해킹 사고에 대해 과징금을 부과하고 별도의 악성코드 감염사고를 신고하지 않고 로그를 삭제하거나 거짓 자료를 제출한 혐의로 KT를 고발했다.
또한 인정보 유출 사고 조사 착수 전에 관련 서버의 운영체제를 재설치하고 서버를 폐기해 정확한 유출 경위와 추가 피해 확인을 방해한 혐의로 LGU+를 수사의뢰했다. 경실련은 개보위가 이통3사의 안전조치 의무 위반과 사고 은폐 행위를 적발하고 제재한 점에 대해서는 일부 긍정 평가한다.
그러나 최근 반복되는 개인정보 유출 사고에 대해 정부가 근본적인 보안 대책 등을 제시하여 문제의 원인을 해소하지 않고, 실질적인 피해구제하기에는 명백한 한계를 갖는다. 일회성 과징금과 형식적인 시정명령만으로는 통신사들의 안일한 보안 인식과 사고 은폐 관행을 바꿀 수 없기 때문이다.
SKT 유심·개인정보 유출사고는 고도화된 해킹 때문에 피할 수 없었던 사고가 아니라 기본적인 보안조치를 장기간 방치한 명백한 인재다. SKT는 외부 인터넷망과 내부 관리망·코어망 사이의 접근통제를 소홀히 했고, 수천 개의 서버 계정정보와 유심 인증키를 암호화하지 않은 채 저장했다.
이미 보안패치가 공개된 운영체제 취약점을 만 10년간 방치했으며, 해커의 서버 접속 사실을 확인하고도 충분한 점검을 하지 않았다. 개인정보 유출을 인지한 뒤에도 법정기한인 72시간 이내에 이용자에게 확정 사실을 통지하지 않아 2차 피해 예방 기회를 침해했다.
이에 SKT의 과징금 납부와 유심 교체에 그쳐서는 안 된다. 이용자에게 위약금 없는 해지권을 보장하고, 명의도용·금융사기·복제유심 등 장기적 위험을 감시하며 실제 피해가 발생하면 선제적으로 배상해야 한다. 개인정보 보호책임자가 통신 인프라와 코어망을 포함한 전사 개인정보 처리를 감독하도록 권한을 강화하고, 핵심 인증정보 암호화, 망 분리, 보안패치, 백신 설치 및 접속기록 장기 보관을 의무화해야 한다.
KT 펨토셀 사고 역시 새로운 공격기술의 문제가 아니라 가장 기본적인 접근통제와 장비 관리 의무를 이행하지 않은 결과다. KT는 펨토셀 인증서의 유효기간을 10년으로 설정하고 타사·해외 IP 접속을 제한하지 않았으며, 비인가 셀 아이디의 이상접속을 실시간으로 탐지·차단하는 체계도 마련하지 않았다.
그 결과 불법 펨토셀이 약 11개월 동안 KT 내부망에 접속해 개인정보와 소액결제 인증정보를 탈취했지만, KT는 피해 민원이 발생한 뒤에야 이를 확인했다. 이에 정부는 KT가 무단 소액결제 피해액을 전액 선보상하고, 피해 이용자에게 위약금 없는 해지권과 신용 모니터링 등 보호조치를 제공하도록 해야 한다.
펨토셀 인증서 유효기간 단축, 접속 IP 제한, 비인가 셀 아이디 실시간 차단, 유실·회수·폐기를 포함한 장비 생애주기 관리를 의무화해야 한다. KT의 악성코드 감염 미신고와 로그 삭제, 거짓 자료 제출에 대해서는 지시·보고 체계와 경영진 관여 여부까지 철저히 수사해야 한다.
특히 LGU+의 개인정보 유출과 조사 착수 전 서버 운영체제 재설치·폐기는 진상규명과 피해구제를 원천적으로 방해한 중대한 증거인멸 행위다. 개보위 조사에서 외부에 공개된 임직원·협력사 직원의 이름과 계정정보가 LGU+의 통합 비밀번호 관리시스템에서 실제 관리되던 정보라는 사실이 확인됐다.
그런데 LGU+는 개보위가 조사에 착수하기 전에 관련 서버의 운영체제를 재설치하고 서버를 폐기했다. 이로 인해 침입 경로와 유출 규모, 추가 피해 여부를 규명할 핵심 증거가 사라졌다. 현행법은 개보위 조사 착수 이후의 증거 은닉·폐기는 제재할 수 있지만, 조사 착수 전에 이뤄진 행위에 대한 직접적인 처벌 규정은 미비하다.
개보위가 LGU+를 수사의뢰했더라도, 이러한 법적 사각지대를 해소하지 않으면 실질적인 처벌이 이뤄지지 않고 기업에 면죄부를 줄 우려가 있다. 때문에, 개인정보 유출 가능성이 제기된 상황에서 관련 서버를 폐기한 행위를 통상적인 장비 관리로 치부해서는 안 된다. 서버와 로그, 백업자료는 사고 원인과 피해 범위, 책임 소재를 밝히는 핵심 증거다.
조사 착수 전에 이를 없애는 것이 기업에 유리한 선택으로 남는다면, 기업은 사고를 신고하고 자료를 보존하기보다 증거부터 폐기하려 할 것이다. 수사기관은 LGU+의 서버 운영체제 재설치와 폐기를 지시·승인한 책임자, 개인정보 유출 가능성을 인지한 시점, 경영진과 보안부서의 내부 보고 여부, 별도 백업자료와 로그 은닉 여부를 철저히 규명해야 한다.
LGU+도 내부 감사자료, 이메일·메신저, 보안관제 기록, 임직원·협력사 자료와 백업본을 모두 제출해야 한다. 또한 유출 규모를 확인할 수 없다는 핑계로 피해 가능성을 부정하지 말고, 관련 임직원과 협력사 직원에게 유출 가능성과 피해 예방조치를 투명하게 통지해야 한다.
따라서 경실련은 이통3사의 보안 실패와 사고 은폐가 반복되지 않도록 정부와 국회에 다음과 같이 대책을 마련할 것을 촉구한다.
첫째, 정부는 개인정보 유출 및 소액결제 피해 이용자에게 위약금 없는 해지권을 보장해야 한다. 이통3사의 안전조치 의무 위반으로 신뢰관계가 훼손된 만큼 약정기간을 이유로 이용자에게 위약금을 부담시켜서는 안 된다. 무단 소액결제 피해는 KT가 전액 선보상하고 이후 책임자에게 구상토록 배상조치를 마련해야 한다.
둘째, 개인정보 보호책임자의 권한을 실질화해야 한다. 개인정보 보호책임자를 경영진 직속으로 두고, 보안 예산 편성에 참여할 권한과 위험 시스템의 긴급 중단 요구권, 전사 자료 접근권과 이사회 직접 보고권을 보장해야 한다. 이동통신 코어망, 관리망, 인증시스템, 펨토셀 등 망 장비 전반에 ISMS-P 인증을 의무화하고 인증 결과와 개선계획을 공개해야 한다.
셋째, 통신장비 보안 가이드라인을 전면 개정해야 한다. 펨토셀 인증서의 장기 유효기간을 단축하고, 타사·해외 IP 접속 제한, 비인가 셀 아이디 실시간 탐지, 관리서버 우회 접속 차단, 노후 장비 퇴역과 보안패치 의무를 구체적으로 규정해야 한다. 이통3사뿐 아니라, 알뜰폰 사업자와 관련 위탁업체를 포함해 무작위 불시 보안점검을 상시화해야 한다.
넷째, 개인정보 침해 정황이 포착되면 즉시 현장에 투입되는 디지털 포렌식 전담조사팀을 설치하고 법적 권한을 부여해야 한다. 조사기관이 사고 관련 서버와 로그를 신속히 확보·복제하고, 사업자에게 관련 자료의 변경·삭제·폐기를 즉시 금지할 수 있도록 긴급 자료보전명령권을 도입해야 한다.
다섯째, 국회는 조사 착수 전 증거 은닉·폐기를 처벌하는 개인정보 보호법 개정을 연내 완료해야 한다. 제재 대상을 ‘조사 중 은닉행위’에서 ‘사업자가 사고를 인지한 이후의 모든 은닉·폐기행위’로 확대하고, 고의적인 서버 폐기나 로그 삭제에 대해서는 형사처벌과 함께 전체 매출액의 최대 3%에 해당하는 과징금을 부과해야 한다.
여섯째, 거짓 자료 제출과 진술 번복, 자료 제출 거부로 조사를 지연시키는 기업에는 일 매출액의 0.3%에 해당하는 이행강제금을 부과해야 한다. 침해사고 인지 시점부터 관련 로그, 이메일, 서버 데이터와 백업자료를 의무적으로 보존하도록 하고, 자료보전명령 위반은 중대한 조사방해 범죄로 다뤄야 한다.
일곱째, 국회 과학기술정보방송통신위원회와 정무위원회는 공동 청문회 또는 국정조사를 실시해 이통3사의 보안 투자와 사고 대응 실태를 조사해야 한다. 이통3사 최고경영자, 최고정보보호책임자, 개인정보보호책임자를 증인으로 출석시켜 경영진의 책임을 규명하고, 피해자에 대한 사과와 구체적인 배상계획을 제출하도록 해야 한다. 행정처분 이후 3개월 이내에 제출되는 재발 방지 대책과 ISMS-P 인증 확대 이행상황도 정기적으로 국회에 보고하도록 해야 한다.
끝으로, 소비자 집단소송제를 전면 도입하고 징벌적 손해배상을 현실화해야 한다. 일부 피해자의 승소 효력이 동일한 피해를 입은 전체 이용자에게 적용되도록 하고, 기업이 악성코드 감염을 숨기거나 로그를 삭제하는 등 고의 또는 중대한 과실이 확인된 경우에는 실손해액을 크게 상회하는 배상책임을 부과해야 한다.
기간통신망 보안은 기업이 비용 절감 차원에서 선택할 수 있는 문제가 아니다. 휴대전화번호, 가입자식별번호, 유심 인증키 등 개인정보는 금융·공공·플랫폼 서비스의 본인인증과 직결돼 있어 유출될 경우 국민의 재산과 일상생활에 직접적인 피해를 초래하기 때문이다.
기간통신망을 운영하는 이통3사가 안전조치 의무를 소홀히 하고, 사고를 은폐하거나 증거인멸 시도에 대해서는 철저한 수사와 형사처벌이 뒤따라야 한다. 이처럼 이통3사뿐만 아니라, 최근 롯데카드, 쿠팡 등 개인정보 유출 기업들을 비롯한 ICT 기업들의 보안을 강화하고 실질적인 피해구제를 강구할 것을 촉구한다.
정부와 국회는 피해자 직접 배상, 위약금 없는 해지권, 증거보전명령, 조사 전 증거인멸 처벌, 그리고 집단소송법 제정과 징벌적 손해배상제를 연내 도입하라. 기업의 보안 강화와 개인정보 보호를 위해 경실련 또한 시민들과 연대하여 최선을 다 할 것이다.
2026년 7월 30일
