사진=연합뉴스
고학수 개인정보보호위원회 위원장은 28일 SK텔레콤 고객 유심(USIM) 정보 유출 사고에 대한 포렌식 결과 발표 시점에 대해 "짧게는 2~3개월, 시스템이 복잡할 경우 1년 이상 걸릴 수도 있다"고 밝혔다.고 위원장은 이날 국회 정무위원회 전체 회의에서 국민의힘 강민국 의원이 "이번 사고에 대한 조사 결과를 언제쯤 공식적으로 발표할 계획이냐"고 질의하자 이같이 답했다.
그는 "아직 SK텔레콤으로부터 자료 요구에 대한 공식 답변을 받지 못한 상황"이라며 "사고 당일 현장을 방문해 구두로 설명을 듣고 회사와 지속적으로 소통하고 있다"고 설명했다.
강 의원이 "무관심하고 무책임한 발언"이라고 지적하자, 고 위원장은 "SKT 고객 수가 거의 국민의 절반에 달하며, 기간통신사업자인데 그렇지 않다"고 해명했다. 이어 "이번 사고의 심각성을 고려해 별도의 태스크포스(TF) 운영을 시작했으며, 과거 LG유플러스나 KT의 유출 사고보다 훨씬 중대한 상황"이라고 강조했다.
LG유플러스는 2023년 1월 해킹 공격으로 약 30만 건의 고객 정보가 유출되는 사고를 겪었다. 당시 개인정보위는 LG유플러스에 과징금 68억원과 과태료 2700만원을 부과했다.
그보다 앞선 2012년에는 KT 고객 약 830만 명의 개인정보가 유출됐고, 방송통신위원회는 KT에 7억 5300만원의 과징금을 부과했다. 이어 2013~2014년에도 KT 고객 약 1200만 명의 개인정보가 추가로 유출됐으며, 방통위는 7000만원의 과징금을 부과했다. 그러나 KT가 이에 불복해 소송을 제기했고, 대법원은 과징금 처분을 취소했다.
고 위원장은 "2년 전 개인정보보호법 개정으로 처벌 조항이 과거보다 대폭 강화됐다”며 “상당한 수준의 처벌 가능성이 있다"고 밝혔다. 2023년 9월부터 시행된 개정 개인정보보호법은 법 위반 사업자에게 '전체 매출액의 3%'까지 과징금을 부과할 수 있도록 한다. 기존에는 '위반행위 관련 매출액의 3%'가 과징금의 상한선이었다.
"유심만 바꾸면 안전하냐"는 국민의힘 윤한홍 정무위원장의 질의에는 "유심을 교체하면 고객 입장에서 2차 피해를 방지할 수 있다"고 답했다. 윤 위원장이 "통신사를 LG유플러스나 KT로 바꾸면 괜찮냐"고 재차 묻자, 고 위원장은 "통신사를 변경하는 것도 2차 피해 방지에 도움이 될 수 있다"고 덧붙였다.
또 윤 위원장이 "해킹 때문에 통신사를 바꿔야 한다면 위약금 문제도 해결해줘야 하는 것 아니냐"고 질의하자, 고 위원장은 "회사 측에서 전향적으로 고려해야 할 사안이라고 생각한다"며 즉답을 피했다.
SKT가 해킹을 인지한 시각을 묻는 국민의힘 이헌승 의원의 질의엔 "신고서상 인지 시점은 19일 23시 40분"이라고 답했다. 개인정보위에 신고가 접수된 시점은 "22일 오전 10시경"이라고 설명했다. 개인정보보호법은 개인정보 유출 사실을 알게 된 후 72시간 이내에 개인정보위에 신고해야 한다고 규정한다. 고 위원장은 "신고서 기준으로는 늦지 않았다”면서도 "지난 18일에 (유출을) 발견한 것 아니냐는 의혹이 있어 사실관계를 명확히 밝혀야 한다"고 덧붙였다.