지이코노미 문채형 기자 | "모든 책임을 통감한다.”
최태원 SK그룹 회장의 사과는 분명했지만, 그다음은 없었다. 해킹 피해로 26만여 명의 고객 정보가 유출되고 대규모 가입자 이탈이 발생했지만, SK텔레콤은 위약금 면제나 실질적 보상에 대해 여전히 “법적 검토 중”이라는 말만 되풀이하고 있다. 책임지는 이는 없고, 피해는 고스란히 고객 몫이다. 사과는 있었으나, 실천은 없었다.
이 사태는 단순한 보안 사고가 아니다. 고객의 유심(USIM) 정보를 암호화하지 않은 채 보관해온 SK텔레콤의 안일한 보안 관리가 그 뿌리다. 같은 조건에서 KT와 LG유플러스는 자발적으로 유심 정보를 암호화해왔지만, SKT만이 이를 소홀히 했다. “법적 의무가 없었다”는 변명은 업계 1위 통신사로서 납득하기 어렵다. 법은 최소 기준일 뿐, 책임은 선택이 아니라 의무다.
사건의 충격은 여기서 그치지 않는다. SK텔레콤은 해킹 발생 전후로 세 차례나 정보보호 인증(ISMS·ISMS-P)을 통과했다. 하지만 실제 사고 신고 건수는 인증 제도 도입 후 수년 만에 100건을 넘었다. 인증 제도가 실효성을 잃고 형식적 ‘면죄부’로 전락했다는 지적이 나오는 이유다.
수사도 진행 중이다. 경찰청 국가수사본부는 피해 서버와 악성 코드 등 디지털 증거를 확보하고 분석 중이지만, 아직 해킹 세력을 특정하지 못했다고 밝혔다. IP 추적 등은 진행 중이지만 가시적인 성과는 나오지 않았다. 그 사이 서울 남대문경찰서는 한국인터넷진흥원(KISA)에 해킹 사실을 늦게 신고한 혐의 등으로 최태원 회장과 유영상 SK텔레콤 대표이사를 입건해 조사 중이다. 말뿐이었던 책임은, 이제 형사적 책임으로 넘어가고 있다.
뒤늦게 SK텔레콤은 유심 보안 강화와 관련해 ‘유심 재설정’을 권고하는 조치를 발표했지만, 이는 상징적 조치에 불과하다. 고객 대부분이 직접 매장을 찾아야 하고, 재설정 여부도 사용자가 스스로 확인해야 한다. 고객 불편을 줄이기 위한 후속 지원은 여전히 미흡하다. 보안 강화는커녕, 피해 고객에 대한 실질적인 보상 계획조차 확정되지 않았다.
분노한 고객들은 통신사를 떠났다. 사건이 알려진 4월 22일부터 5월 7일까지, SK텔레콤을 이탈한 가입자는 26만 명을 넘겼다. 그러나 SK텔레콤은 위약금 면제조차 “검토 중”이라며 계약 해지마저 어렵게 만들고 있다.
이제는 묻지 않을 수 없다. SK텔레콤은 정말 통신 인프라를 운용할 자격이 있는가? 정부의 정보보호 제도는 국민의 신뢰를 지킬 수 있는가? 통신망은 단순한 민간 서비스가 아니다. 산업과 공공, 시민의 일상을 지탱하는 공공 인프라다. 이를 관리하는 기업에는 단순한 영리 추구를 넘어선 윤리와 공적 책임이 요구된다.
영국 등 일부 국가는 통신 보안 의무 위반 시 총매출의 10%에 달하는 과징금을 부과하고 있다. 우리 역시 정보보호 인증의 실효성을 높이고, 위반에 대한 책임을 실질적으로 물을 수 있는 법·제도 정비가 절실하다.
시민단체 정실련은 “이번 사태는 기술 부족이 아니라 비용 절감이라는 안일한 판단의 결과”라며 “기업 자정에 기대는 시대는 끝났다”고 지적한다. 이제는 정부와 국회, 기업 모두가 ‘보안은 생존의 문제’라는 인식을 가지고 현실적인 개혁에 나서야 한다.
통신 공룡의 민낯은 드러났다. 이제는 말이 아닌 행동, 책임이 아닌 처벌, 형식이 아닌 실질이 필요하다.
