[광화문뷰] 당하면 '가해자'가 되는 해킹사태...SKT '자진신고'가 남긴 교훈

김성현 AI부 차장 [사진=아주경제DB]

SK텔레콤만 때리면 마무리될 줄 알았던 해킹 사태가 전 국민을 대상으로 한 전례 없는 대규모 정보 유출 사태로 확산할 가능성이 제기되고 있다. 국가 차원에서 해킹 대응이 필요하다는 전문가들의 끊임없는 조언에도 오로지 SKT 처벌에만 집중했던 정부는 이제 전 국민을 대상으로 한 대규모 해킹 사태를 직면하게 됐다. 
 
지난 4월 SKT 해킹 사태 당시 당국은 SKT뿐 아니라 KT와 LG유플러스를 포함한 다른 통신사와 국내 주요 기업에 대한 전수조사가 가능했다. 조사 당국인 과학기술정보통신부와 한국인터넷진흥원(KISA)은 해킹 의심 징후가 포착된 여러 기업에 자진신고를 권고했기 때문이다.
 
민관합동조사단이 발족하면서 민감한 개인정보를 다루는 주요 기업에 대한 전수조사 필요성도 내부적으로 제기된 것으로 확인된다. 그러나 정부는 ‘보여주기식’ 대응을 선택한 듯 보인다. SKT를 공개적으로 비판의 중심에 세우고 전 국민 앞에서 엄중한 처벌을 가하는 장면을 연출했다.

SKT는 지난달 18일 이상 트래픽을 감지한 뒤 당국에 자진신고하는 것을 선택했다. 그 결과 역대 최대 1348억원의 과징금, 여론의 비판, 72만명의 고객 이탈, 그리고 수조 원에 달하는 피해를 감수해야 했다. 이는 다른 기업들에 자진신고가 사실상 ‘자살행위’라는 교훈을 남겼다.
 
개인정보보호위원회와 방송통신위원회는 SK텔레콤에 대한 압박 수위를 높이며 자신들의 업적을 부각하는 데 몰두했다. 심지어 대통령실에서는 ‘영업중단’이라는 표현까지 언급하며 한 기업을 국가적으로 몰아붙이는 데 열을 올렸다.
 
이러한 상황을 지켜본 KT와 LG유플러스는 해킹 의혹에도 불구하고 자진신고를 거부하며 버티고 있다. 그들은 해킹 의심만으로 자진신고를 할 수 없다는 입장을 고수한다.
 
현행법은 기업이 해킹 사고를 당했을 때 자진신고를 해야만 당국이 본격적인 조사를 진행할 수 있도록 규정하고 있다. 당국이 해킹 정황을 감지하더라도 자진신고 없이는 자료 요청 수준 이상으로 조치를 취하기 어렵다.
 
자진신고는 기업이 해킹 의심 시 당국에 도움을 요청하는 과정으로, 개인정보가 국가 안보와 직결되고 기업 단독으로는 보안 한계가 있는 만큼 국가 차원의 대응을 기대하는 절차다. 그러나 현재 자진신고는 ‘해킹 인정’으로 간주되며 기업이 반드시 피해야 하는 절차로 전락했다.
 
이는 정부의 잘못된 접근이 국가 사이버 보안을 약화시킨다는 점을 보여준다. SKT 사태에서 민관합동조사단은 해킹 원인을 ‘기업 관리 부실’로 결론지었다. 하지만 전문가들은 이 사건이 국가 단위의 공격으로, 기업 차원에서 방어하기 어려운 수준이었다고 반복적으로 지적했다.
 
교수와 업계 관계자 등은 이번 사태가 “빙산의 일각”이라며 국가 차원의 전수조사를 촉구했다. 그러나 정부는 기업 책임만 강조하며 근본적인 문제를 외면했다. 이로 인해 SKT는 유심 무료 교체, 영업 중단 위협, 과징금 등 과도한 부담을 떠안았고, 사후 조치 비용만 수조 원에 달했다. 통신업계 관계자는 “이런 피해를 감수할 기업이 어디 있겠느냐”고 반문한다.

미국, 일본, 영국 등 주요국은 해킹 전문 조직을 운영하며 기업의 해킹 피해를 지원한다. 이들 국가는 기업을 ‘피해자’로 간주하지만 한국은 해킹을 당한 기업을 ‘가해자’로 취급한다. 피해를 입은 기업이 스스로 신고하고 처벌까지 받아야 하는 것이 현재 한국의 해킹 대응 현실이다.