기업 부주의로 해킹 발생…피해자가 입증하나

프린트

Live 중기 ㅣ 경제일반 기업 부주의로 해킹 발생…피해자가 입증하나 통신사 역사상 최악 사태 ‘SKT 해킹’…정보보호 투자 중요성㊦

기사입력2025-05-26 13:14

SKT 유심 해킹 사태. SKT가 소극적인 대응을 이어가는 바람에 노인과 장애인을 비롯한 디지털 취약계층은 소외될 수밖에 없었다. SKT 공식적인 사과와 통지가 늦어지면서 정보 접근이 어려운 어르신들의 문제 인지가 더욱 늦어진 것이다. 더군다나 디지털 취약계층에게는 유심보호서비스 가입이나 유심교체를 위해 온라인 예약을 하는 것이 어려울 수 있다. 거동이 불편한 경우에는 대리점 앞에서 줄을 서는 것도 버겁다.

디지털 취약계층과 알뜰폰 가입자 소외…대리점 피해도 막심

이러한 지적이 이어지자, SKT는 T월드 매장에 방문하기 어려운 고객을 대상으로 유심 교체 및 재설정 현장 방문을 5월 19일부터 진행하기로 했다. 현장 방문은 온·오프라인 서비스 접근성이 낮은 전국 도서벽지부터 시작해 6월 말까지 진행한다. 6월 말부터 연말까지는 거동이 불편한 고령자와 장애인을 대상으로 ‘찾아가는 서비스’를 진행하며, 3분기부터는 스마트폰 활용 및 모바일 안심 서비스 등을 안내하는 ‘찾아가는 안심 서비스’를 운영할 예정이다.

이러한 조치가 해킹 사태가 발생한 지 한 달이 지나서야 비로소 시작되었다는 것은 한참 늦은 것이다. 찾아가는 서비스를 받으려면 최대 연말까지 기다려야 할 수도 있다는 점 역시 문제다. SKT는 해킹으로 인한 피해가 발생할 경우 고객에게 보상하겠다는 입장이지만, 디지털 취약계층의 경우 피해 사실을 입증하기가 더욱 어려워 우려된다.

SKT 알뜰폰 가입자 역시 상대적으로 소외됐다. 처음에는 SKT와 알뜰폰 통신사가 사용하는 통신망 서버가 기본적으로 분리돼 있어 해킹 가능성이 낮다는 보도가 나왔으나, 결국 알뜰폰 이용자들의 정보 역시 빠져나간 것으로 알려졌다. 결국 피해 고객의 범위가 어디까지인지 정확한 확인이 늦어지면서, 알뜰폰 가입자들의 대응은 더욱 늦어질 수밖에 없었다. 또한 SKT는 5월 12일부터 유심 내 인증정보 중 일부를 소프트웨어적으로 변경해 유심 교체와 동등한 효과를 내는 기술인 ‘유심 재설정 솔루션’을 도입했다. 문제는 유심 재설정은 셀프로 하는 것이 불가능하며 반드시 매장을 방문해야 하는데, SKT 알뜰폰은 오프라인 매장이 없다. 알뜰폰 가입자 역시 똑같은 피해자인데 문제 해결 대상에서 후순위로 밀려나 있다는 점은 논란이 되고 있다.

해킹 사태의 원인이 대기업에 있음에도 불구, 정작 대리점을 운영하는 소상공인에게 책임이 전가된 것 역시 문제가 되고 있다. 유심 교체는 주로 대리점에서 이뤄졌는데, 대리점들은 유심 교체작업에 집중하면서 본래 진행해야 할 수익성 업무에 지장을 겪게 됐다. SKT의 부실한 대응으로 분노한 고객들을 달래는 감정노동 역시 대리점 점주와 직원들의 몫이 되었다. 정부에서 신규 가입자 모집을 중단하도록 행정 지도를 한 것은 피해 고객들을 위해 마땅히 필요한 일이었으나, 이러한 조치가 소상공인의 피해로 이어지지는 않을지 세심하게 살필 필요가 있다. SKT는 신규 가입자 모집을 중단하는 기간 동안 대리점이 입는 손실을 돌보겠다고 밝혔으나, 수익성 업무 마비뿐만 아니라 유심 교체를 위한 노고에 대해서도 충분한 보상이 이뤄질 것인지 지켜보아야 한다.

피해 사실 밝히면 보상하겠다?…유출 자체가 ‘이미 중대 피해’

SKT 유심 해킹 사태에 대한 민관합동조사단의 조사 결과는 6월 말에 나올 예정이다. 이 조사 결과에 따라 SKT의 위약금 면제 이슈 역시 판단할 수 있을 것으로 보인다. 현재 위약금과 결합 상품으로 인해 번호 이동을 하고 싶어도 못 하고 있는 고객들이 많은 상황인 만큼, 민관합동조사단의 조사 결과에 귀추가 주목된다.

그 동안 사이버 침해 사고에 대한 법적 논쟁은 ‘해킹으로 인해 직접적으로 피해가 발생했는지 피해자가 인과관계를 밝히는 것’에 달려 있어 피해자가 불리할 수밖에 없었다. 이제는 기업이 정보보호에 대한 책임과 의무를 다했는지 기업이 밝히도록 입증의 주체를 전환할 필요가 있다. <이미지=이미지투데이>

국회 과방위는 SKT 유심 해킹 사태는 회사의 귀책 사유로 인한 것인 만큼 SKT 측에 고객의 위약금 면제를 요구했으나, SKT는 가입자 형평성을 핑계로 들며 위약금 면제는 어렵다고 발을 빼고 있다. 이에 ‘평소에는 고객에게 위약금을 물면서 정작 기업이 잘못했을 때는 단순 사과로만 무마하려 한다’는 비판이 이어지고 있다.

이와 관련해 정부 차원에서의 엄격한 제재뿐만 아니라 ‘징벌적 손해배상’을 적용해야 한다는 목소리도 커지고 있다. 징벌적 손해배상이란 기업이 불법행위를 통해 영리적 이익을 얻은 경우, 이익보다 훨씬 큰 금액을 과징금이나 손해배상액으로 부과하도록 하는 방식을 뜻한다. 고객에게 끼친 손해에 상응하는 액수만을 보상한다면 이후에도 유사한 잘못을 저지를 수 있는 만큼, 더 큰 금액을 부담하게 함으로써 같은 일이 벌어지지 않도록 예방하자는 목적이 크다. SKT 유심 해킹 사태의 경우에도 SKT의 정보보안 과실이 크므로 징벌적 손해배상 여부를 검토할 필요가 있다. 만약 정보보안에 투자하는 비용보다 과징금이 더 적다면, 앞으로도 SKT를 비롯한 수많은 기업들이 비용 절감을 이유로 정보보호 투자에 소홀할 수 있기 때문이다. 이러한 문제가 반복된다면 결국 이용자들만 피해를 입는 상황이 계속될 수 있다.

한편, SKT 유심 해킹 사태와 같이 기업의 과실로 사이버 침해 사고가 발생했을 경우. 피해자들이 정당하게 피해를 보상받을 수 있도록 집단소송과 관련한 법적·제도적 보완 역시 절실하다. 기업의 개인정보 유출로 피해를 본 이용자들이 집단소송을 제기한 사례는 이전에도 여러 차례 있었으나, 피해자들이 핵심 증거를 확보할 수 있는 길이 없어 결국 패소에 이르는 경우가 대부분이었다. 지금까지 법원은 기업의 과실과 고객의 피해 간 인과관계가 명확하게 입증되지 않았다는 이유를 들어 기업의 책임을 제대로 인정하지 않았다. 이러한 일이 반복되고 판례로 남으면서 이후 소송에서도 고객이 패소하는 구조가 고착화됐다.

하지만 이러한 상황이 방치될 경우 기업도 ‘버티면 이긴다’라고 믿고 책임을 회피할 수 있으며, 이용자들 역시 개인정보 유출에 점점 무감각해질 수 있다. 법은 기업의 비윤리적인 행위를 막는 최소한의 안전장치 역할을 해야 하며, 국민의 정당한 권리를 제도적으로 보호할 수 있어야 한다. 그 동안 사이버 침해 사고에 대한 법적 논쟁은 ‘해킹으로 인해 직접적으로 피해가 발생했는지 피해자가 인과관계를 밝히는 것’에 달려 있어 피해자가 불리할 수밖에 없었다. 이제는 기업이 정보보호에 대한 책임과 의무를 다했는지 기업이 밝히도록 입증의 주체를 전환할 필요가 있다. 무엇보다 개인정보 유출은 그 자체만으로도 고객에게 정신적 손해와 프라이버시 침해이므로, 현실을 반영한 제도 개선이 필요하다.

AI 시대에 더욱 커지는 ‘해킹’ 위협…정보보안은 ‘필수’다

모바일 금융 거래가 일상화되면서 개인정보는 일상 곳곳에서 쓰이고 있으며, 인공지능(AI) 시대에 해킹 위협은 날로 고도화되고 있어 기업의 정보보안 책임이 더욱 막중해지고 있다.

최근에는 생성형 AI를 악용해 비전문가도 손쉽게, 대량으로 악성코드를 제작해 사이버 공격을 시도하는 일이 늘고 있다. 생성형 AI로 텍스트와 이미지, 음성, 영상을 만들 수 있는 만큼 이를 악용해 자연스러운 피싱 메시지를 만드는 경우도 있다. 아울러 딥페이크와 같은 기술을 이용해 가짜 영상이나 위조된 음성, 가짜 문서 등을 만들어 더욱 교묘하게 피싱 공격을 할 수 있게 됐다. 즉 해킹 위협의 수준이 예전과 달라진 만큼, 이제는 정보보안을 후순위로 미뤄둘 것이 아니라 최우선 과제로 삼아야만 한다.

해킹 사태가 발생할 경우, 이를 악용한 2차적인 사기 행각이 잇따르는 사례도 많아 이를 방지하는 대책 역시 시급하다. 실제로 SKT 해킹 사태로 인해 유심 대란이 일어나자 SKT 유심 재고와 관련한 스미싱이 기승을 부리기도 했다. ‘고객님이 예약하신 유심이 대리점에 입고 되었으니 방문 전 본인 확인을 위해 아래 URL에 접속해달라’라는 메시지를 발송하며 절박한 고객들의 접속을 유도한 것이다. 이러한 문제는 개인 차원에서의 주의도 필요하지만, 기업의 부주의로 발생한 해킹 사태라면 이로 인해 파생된 스미싱 등 2차 피해에도 일부 책임을 지도록 법적 책임을 확대하는 방안을 검토할 필요가 있다.

한편, 개인정보 유출 사태 발생 시 기업과 정부 모두 디지털 취약계층을 보호하는 데 최우선으로 나설 필요가 있다. 디지털 취약계층은 해킹이나 사기 피해를 늦게 인식할 수 있으며, 상대적으로 피싱이나 스미싱에 속기 쉽다. 해킹이나 피해 사실을 인지하더라도 어떻게 대처해야 하는지 어려워할 수 있다. 기업은 더 약한 이용자를 위해 찾아가는 서비스 등을 신속히 마련하고 확대 적용할 필요가 있다. 정부는 정보보호 격차를 줄일 수 있도록 디지털 교육 확대는 물론, 사회적 약자의 피해를 지원하는 전담 창구를 마련해야 한다. 중기이코노미 안수영 기자