해킹에 놀란 이통3사, 보안에 3353억원 썼다… 투자 더 늘린다

|스마트투데이=최아랑 기자| 반복적이거나 중대한 개인정보보호법 위반 기업에 전체 매출액의 최대 10%를 과징금으로 부과할 수 있는 개정 개인정보보호법 시행이 한 달여 앞으로 다가왔다. 지난해 대규모 개인정보 유출 사고를 겪은 이동통신 3사가 중장기 정보보호 투자를 확대하고 보안 인력과 조직, 시스템 강화에 속도를 높이는 이유다.

7일 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 지난해 SK텔레콤(SKT)과 KT, LG유플러스의 정보보호 투자액은 총 3353억원으로 집계됐다.

회사별로는 KT가 1276억원으로 가장 많았다. SKT는 1111억원, LG유플러스는 966억원을 투자했다. 전년 대비 증가율은 SKT가 70.3%로 가장 높았고 LG유플러스는 16.7%, KT는 약 2% 늘었다.

전체 정보기술(IT) 투자에서 정보보호 투자가 차지하는 비중은 LG유플러스가 7.7%로 가장 높았다. SKT는 7.2%, KT는 6.3%였다.

통신 3사는 중장기 정보보호 투자도 확대하고 있다.

SKT는 향후 5년간 7000억원을 정보보호 분야에 투입할 계획이다. 제로 트러스트(Zero Trust) 보안체계를 구축하고 정보보호 전문인력을 두 배로 확대한다. 제로 트러스트는 회사 내 조직 구성원으로 인증된 이용자가 내부 네트워크에 접속할 때조차 이미 공격자가 침투한 상황으로 가정한 보안 프레임이다. SKT는 실제 공격자의 관점에서 취약점을 점검하는 레드팀도 신설한다는 계획이다.

KT는 정보보안과 IT 혁신에 3년간 4조원을 투자할 예정이다. KT는 개인정보보호책임자(CPO)를 별도로 선임하고 개인정보보호 자문위원회를 출범하는 등 개인정보 보호 거버넌스도 강화하고 있다.

LG유플러스는 제로 트러스트 적용과 인공지능(AI) 기반 보안관제, 보이스피싱·스미싱 대응 체계를 확대하고 있다. 최근에는 운영형 보안 서비스(MDR) 전문기업 파고네트웍스를 인수했다. MDR은 기업의 보안 환경을 24시간 모니터링하며 위협을 탐지·분석하고 대응하는 서비스다.

국내 이통사들의 이같은 투자 확대는 지난해 연이어 발생한 대규모 해킹 사태와 무관치 않다는 지적이다.

SKT는 2025년 4월 해킹 사실이 알려졌으며, 홈가입자서버(HSS) 등에서 악성코드 감염이 확인됐다. 전화번호·가입자식별번호(IMSI) 등 유심 정보 25종, IMSI 기준 약 2696만건이 유출된 것으로 정부 조사에서 확인됐다. SKT는 전 고객 유심 무상 교체와 유심보호서비스 등을 시행했다.

KT는 불법 초소형 기지국(펨토셀)을 이용한 해킹으로 IMSI 등 개인정보가 유출되고 362명, 약 2억4000만원의 무단 소액결제 피해가 발생했다. 이후 정부 조사에서 94대 서버에서 103종의 악성코드 감염이 확인돼 SKT보다 서버 감염 범위가 넓었던 것으로 나타났다.

LG유플러스의 경우는 해외 보안전문지의 폭로를 계기로 해킹 및 정보 유출 의혹이 제기됐으며, 서버 계정 관리 시스템의 소스코드·데이터베이스와 임직원 정보 등이 유출된 정황이 드러났다. 다만 조사 대상 서버의 운영체제(OS)가 재설치되고 서버가 폐기된 사실이 확인되면서 정확한 침해·유출 규모를 확정하지 못했고, 현재 이에 대한 경찰 수사가 진행되고 있다.

9월 11일부터 시행되는 개정 개인정보보호법은 지난해와 같은 해킹 사태 발생을 최소화하려는 시도로 해석된다. 각 기업이 예방 중심의 보안 투자 및 관리 패러다임을 구축하도록 유도하려는 것이라는 해석이다.

새 개인정보보호법은 최근 3년간 고의 또는 중대한 과실로 개인정보보호법 위반행위를 반복하거나, 고의 또는 중대한 과실로 1000만명 이상에게 피해를 초래한 기업에 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다. 시정명령을 이행하지 않아 개인정보 유출 사고가 발생한 경우도 대상이다.

실제 과징금은 위반 내용과 법 적용 요건, 산정 기준 등에 따라 결정된다. 개정법은 사업주나 대표자를 개인정보 처리와 보호의 최종 책임자로 명시하고 CPO 지정 절차도 강화했다. 또한 새 법은 개인정보 보호를 위한 예산과 인력, 설비·장치 등에 대한 투자와 운영 내역을 과징금 산정 과정에서 감경 사유로 고려할 수 있도록 했다.

전문가들은 각 기업이 투자 규모 확대와 함께 침해 사고에서 확인된 취약점을 실제로 보완하는 데 초점을 맞춰야 한다고 강조했다.

염흥열 순천향대 정보보호학과 명예교수는 "통신사는 침해 사고에서 확인된 취약점을 우선 보완해야 한다"며 "AI를 활용한 공격이 늘어나는 만큼 AI 기반 보안 대응체계와 제로트러스트 기반의 인증·접근권한 관리, 보안 모니터링 체계 구축에 대한 투자가 중요하다"고 말했다.

그는 "개정 개인정보보호법은 중대한 과실이나 반복적인 법 위반에 대해 매출액의 최대 10%까지 과징금을 부과할 수 있도록 한 만큼 통신사들도 예방 중심의 보안 투자와 관리체계를 강화할 필요가 있다"고 덧붙였다.