위반 기간 2년 이상 길어져 가중통지 늦춰 2차 피해 예방 어려워당혹한 SKT… 행정소송 등 고심 2300만여명의 전체 가입자 개인정보가 유출된 SK텔레콤 해킹 사태에 대해 개인정보보호위원회가 역대 최대 규모인 1348억원의 과징금을 부과했다. SK텔레콤은 무거운 책임감을 가진다면서도 당혹스러움을 감추지 못했다. 내부적으로는 행정소송 등도 고심하는 분위기다. 개인정보위는 지난 27일 전체회의를 열고 개인정보보호 법규를 위반한 SK텔레콤에 과징금 1347억 9100만원과 과태료 960만원을 각각 부과했다고 28일 밝혔다. 개인정보위는 SK텔레콤의 전체 이동통신서비스 매출액을 기준으로 과징금을 산정했으며, 다수의 안전조치의무 위반 사항이 유출 사고의 직접적인 원인이 된 점 등을 고려해 ‘매우 중대한 위반행위’로 판단했다고 설명했다. 위반행위 기간이 2년 이상 지속된 점은 가중됐고, 위반행위를 시정하고 피해 복구를 위해 노력한 점은 감경 적용했다고 덧붙였다. 개인정보위에 따르면 이번 해킹 사고로 유출된 정보는 SK텔레콤의 LTE·5G 서비스 전체 이용자 2324만 4649명(알뜰폰 포함)의 휴대전화번호와 가입자식별번호(IMSI), 유심 인증키 등 25종의 정보다. 위원회는 모바일 시대에 휴대전화번호는 개인을 식별할 수 있는 중요한 개인정보에 해당한다고 봤는데 SK텔레콤은 유출된 정보 외에도 이름, 주소, 서비스 이용 기록 등 이용자 개인정보를 함께 보유·관리해 언제든지 서로 결합하면 개인을 알아볼 수 있다고 판단했다. 또 정당한 사유 없이 유출 통지를 지연해 2차 피해 예방을 어렵게 했다며 통지 의무를 위반했다고 봤다. SK텔레콤은 이번 결과에 대해 “무거운 책임감을 갖고 있다”면서도 “조사와 의결 과정에서 당사의 조치 사항과 입장을 충분히 소명했음에도 결과에 반영되지 않아 유감”이라고 밝혔다. 법적 대응 여부에 대해서는 “향후 의결서 수령 후 내용을 면밀히 검토해 입장을 정하겠다”고 했다. 개인정보위 처분에 대해서는 의결서를 받은 뒤 90일 이내에 행정심판이나 행정소송을 제기할 수 있다. 업계에서는 과징금 기준이 매출액의 3% 이내로 1000억원대에서 많게는 3000억대까지 나올 수 있다고 봤던 만큼 대체로 예상한 수준이라고 봤다. SK텔레콤 내부적으로는 피해자 구제와 재발 방지 대책을 내놓은 점을 감안해 1000억원 이내 과징금이 나올 경우 수용할 수 있다는 분위기였던 것으로 전해진다. 그러나 기존 최대 과징금이었던 구글과 메타 사례(총 1000억원)를 훌쩍 뛰어넘는 규모의 과징금이 나오자 일각에선 형평성에 맞지 않는다는 목소리도 나온다. 일례로 해킹을 당해 개인정보가 유출된 사업자를 영리 목적으로 이용자 정보를 동의 없이 수집해 광고에 활용한 사업자(구글·메타)보다 무겁게 제재하는 것은 불합리하다는 것이다. SK텔레콤은 사고 직후 이상거래탐지시스템(FDS), 유심 무상 교체, 유심 보호 서비스 제공 등 잠재적 피해를 사전에 차단하는 고객 보호 조치를 실행했고, 현재까지 직간접적인 고객 피해 사례가 보고되지 않았다는 점도 강조했다.

그동안 인터넷 사이트 가입 때 본인임을 인증하던 주민등록번호 대신에 ‘아이핀(i-PIN)’이란 통합 식별수단이 도입된다. 정보통신부는 2일 개인정보 누출을 방지하기 위해 인터넷 가입 시 본인 인증용으로 사용하던 주민등록번호는 물론 지난해말 도입된 가상 주민번호, 개인ID 인증, 개인 인증키 등 5개 주민번호 대체 수단을 ‘아이핀(i-PIN)’으로 통합한다고 밝혔다. 현재 정통부와 한국소프트웨어진흥원, 서울 영등포구청 등 17개 기관에서 주민번호 대신 5개 대체 수단을 인증 수단으로 시범운영 중이며, 이 외에는 아직 주민번호를 인증 수단으로 사용 중이다. 인터넷 이용자가 아이핀을 발급받으려면 한국신용평가정보, 한국신용정보, 서울신용평가정보, 한국정보인증, 한국전자인증 등 5개 확인기관에서 실명 확인과 본인 확인을 거쳐야 한다. 서병조 정보보호기획단 단장은 “이를 도입하지 않는 사이트에 대한 처벌이나 강제 조항은 아직 없다.”면서 “일단 개인정보 보호 차원에서 이를 우선 시행하고, 일정 시일이 지난 뒤 대다수 사이트가 이를 채택하면 강제 조항의 도입도 검토할 계획”이라고 말했다. 정통부는 또 미성년자와 재외 국민 등 본인 확인 수단을 보유하지 못한 이용자까지도 편리하게 이용할 수 있도록 개선한 ‘인터넷상 주민번호 대체수단 가이드라인’을 확정했다.김경두기자 golders@seoul.co.kr

인터넷 회원에 가입하는 수단으로 현재 사용 중인 주민등록번호 외 공인인증서 등 별도의 대체 수단들이 도입된다. 다음 달 시범 사업에 들어가며, 오는 2007년부터 이들 안이 법제화돼 전면 시행된다. 정보통신부는 31일 ‘인터넷상의 주민번호 대체수단 도입을 위한 공청회’에서 ▲가상주민번호▲그린버튼 서비스▲공인인증서▲개인ID인증서비스▲개인인증키 등 5개 대체 수단을 활용하기로 확정했다. ●강제 수단은 아니다 인터넷 업체들은 이들 수단 중 자사의 특성에 맞는 방식(복수 가능)을 도입하고, 가입자는 이를 따르면 된다. 대체 방식은 법적으로 강제하지 않는다. 따라서 대형 포털, 쇼핑몰 등이 당장 이를 채용할 가능성이 낮아 소규모 인터넷 사이트나 대형 포털의 신규 서비스부터 시작될 전망이다. 이성옥 정통부 정보화기획실장은 “대체방식의 도입 여부와 방법 선택은 업체 자율”이라면서 “주민번호를 이용해 회원을 모집한 대형 포털이 대체 수단으로 바꾸려면 막대한 비용이 들기 때문”이라고 밝혔다. ●대체수단 이용 방법은 가상주민번호 방식은 한국신용평가정보에서 난수화(亂數化)된 가상번호를 인터넷, 휴대전화로 발급받아 회원가입 때 입력하는 방식이다. 개인인증키 방식은 개인인증키 사용이 가능한 비밀번호(금융계좌정보, 신용카드 정보, 휴대전화 인증번호 등)를 입력하고, 한국신용정보에서 본인임을 확인받아야 한다. 한국신용정보에서는 13개 난수로 구성된 인증키를 해당 사이트로 전송, 회원 가입이 된다. 또 서울신용평가정보가 인증하는 개인ID인증서비스 방식은 인터넷으로 ID와 패스워드를 받아 이용자가 이를 입력해 확인을 받는 방식이다. 난수화된 13자리 가상식별코드가 서울신용평가와 제휴된 해당 사이트로 전송된다. 공인인증서 방식은 회원가입 때 한국정보인증으로부터 공인인증서 검증을 통해 본인임을 확인받는 것으로, 검증후 이용자에게 13자리 식별번호를 주고 이를 해당 사이트에 전송한다. 그린버튼 방식(한국전자인증)은 인터넷에서 온라인 신원확인용 인증서를 받아 해당 사이트에서 인증서 검증을 통해 본인 확인을 받는다. 해당 이용자에게 13가지 식별번호를 주고 이를 해당 사이트에 전송한다. 정기홍 이기철기자 chuli@seoul.co.kr

오는 10월부터 포털 등 인터넷사이트에 가입할 때 주민등록번호 외에 대체번호로도 가입인증을 받을 수 있게 돼 개인신상정보 누출 우려가 훨씬 줄어들 전망이다. 대체 인증번호는 가상 주민등록번호와 개인 인증키, SMS인증 등이 거론되며, 주민등록번호와 같은 13자리 숫자가 유력하다. 정보통신부는 4일 주민등록번호 등 인터넷사이트 가입때 써넣는 개인신상 정보누출 논란이 가열됨에 따라 주민등록번호를 대체하는 인증번호시스템을 만들어 10월부터 제공할 것이라고 밝혔다. 정통부는 “주민번호는 한번 노출되면 인터넷 가입때 인증번호를 바꿀 수 없지만 대체수단은 노출돼도 폐기하거나 갱신할 수 있다.”고 말했다. 인터넷사이트에 회원 가입을 신청하려면 제3의 본인 확인기관이 검증을 거쳐 발급한 대체번호를 받아 인터넷사업자에게 제출하면 된다. 본인 확인기관은 가입 신청자로부터 ▲공인 인증서▲금융 계좌정보▲휴대전화 문자메시지(SMS) 인증 및 신분증 사본 중 1개를 받아 신원을 확인해야 한다. 하지만 포털 등 인터넷사업자들은 기존 주민번호보다 많은 DB(데이터베이스)를 관리해야 돼 정통부의 대체번호제도 도입에 부정적인 입장을 보이고 있어 보급까지는 진통이 따를 전망이다. 이에 대해 정통부 개인정보보호전담팀 조정현 연구원은 “한국정보인증 등 본인 확인기관에서 이미 개인신상과 관련한 기본 시스템을 갖추고 있어 식별번호만 첨가하면 기술적으로 큰 문제는 없다.”고 말했다. 이기철기자 chuli@seoul.co.kr