[김재섭 기자의 뒤집어보기]
‘개인정보 유출’ 반성없는 KT

“전문 해커가 고객 정보를 빼내 유출시킨 사고다. 보안 작업을 했음에도 해킹 기법이 너무 다양하고 고도화돼 해킹이 발생했다.”

케이티(KT)는 고객 1170여만명의 개인정보가 유출된 게 드러나 방송통신위원회의 조사를 받으면서 줄곧 이런 주장을 폈다. 케이티는 ‘관리 소홀 탓’이란 방통위 판단에 대해서도 “현행 법이 정한 수준 이상으로 기술·관리적 조치를 성실히 이행했는데, 이런 결정이 나와 유감스럽다”고 맞섰다.

실체적인 진실 여부와 상관없이 무조건 회사 편을 들어야 한다는 ‘악역’을 맡고 있는 대외협력 부서의 의례적인 발뺌 발언이거나 홍보 부서의 ‘작문’이었으면 하는 바람이다. 왜냐하면 황창규 회장을 비롯한 케이티 경영진과 고객 개인정보 관리를 맡고 있는 실무자들이 정말로 이렇게 생각하고 있다면, 상황이 의외로 심각하다고 볼 수 있기 때문이다. 그런데 케이티가 방통위 결정에 대해 행정소송을 검토중이라는 얘기까지 흘리는 것을 보면, 진심일 수 있겠다는 생각도 든다.

방통위 ‘관리 소홀탓’ 판단에도 
“법 정한 수준 이상 관리” 반박 

KT, 사물인터넷 추진한다는데 
보안 뚫리면 재해·인재 우려도 
억울함 호소말고 관리 강화해야

케이티는 우리나라를 대표하는 통신업체다. 이동통신·유선전화·초고속인터넷·인터넷텔레비전(IPTV) 가입자 수천만명의 개인정보를 확보하고 있다. 당연히 고객 개인정보에 대해 남다른 보호 의식은 물론이고 기술·관리적 장치도 갖추고 있어야 한다. 하지만 경찰과 방통위 조사 내용을 보면, 케이티는 고객 개인정보에 부당하게 접근하는 행위를 막는 장치를 하지 않았고, 개인정보를 안전하게 저장·전송할 수 있는 조처도 취하지 않았다. 단순하고 널리 알려진 해킹 기술에 뚫렸고, 해커가 1년여 동안 1266만번이나 침입해 고객들의 개인정보를 빼가도록 낌새조차 알아차리지 못했다.

한마디로 보호나 관리를 하긴 했는지 의심이 들게 할 정도이다. 오죽하면 늘 사업자 편에서 서서 솜방망이를 꺼내든다는 비판을 받고 있는 방통위가 케이티 탓이라고 판단했을까.

상황이 이런데도, 케이티는 “법이 정한 수준 이상으로 기술·관리적 조치를 성실히 이행했다”는 주장을 되풀이하고 있다. 이런 태도라면 기술·관리적 조처를 제대로 하라는 방통위 명령을 제대로 이행할지도 의문이다. 케이티 가입자들의 개인정보는 여전히 언제나 유출될 수 있는 처지에 놓이게 된다는 얘기다.

문제는 여기서 끝나지 않는다. 황창규 회장은 지난 5월20일 취임 뒤 첫 기자간담회를 하면서 ‘사물인터넷’(IoT)과 ‘빅데이터’ 등을 신성장동력으로 추진하겠다고 밝혔다. 고객 개인정보 보호와 보안 측면에서 보면, 이는 말도 안된다. 고객 개인정보를 건천에 두다시피 하고서도 ‘난 잘못한 게 없다’고 목청을 높이는 케이티와 사물인터넷은 어울리지 않는다. 사물인터넷에 걸림돌이 될 수도 있다. 지금까지 벌어진 고객 개인정보 유출에 따른 피해는 당사자를 께름칙하게 하고 금전적인 손해를 끼치는 정도에 그치지만, 사물인터넷에서 보안이 뚫리면 인명 사고나 재해로 번질 수도 있다.

정부 관계자와 학계 전문가들의 말을 들어보면, 사물인터넷은 보안에 대한 신뢰가 전제돼야 추진할 수 있다. 윤창번 청와대 미래전략수석비서관은 “원전이 안전에 대한 신뢰를 바탕으로 하듯, 사물인터넷은 보안에 대한 믿음이 없으면 추진할 수 없다”고 말했다. 윤종록 미래창조과학부 2차관은 “사물인터넷은 보안이 전제돼야 한다”고 못박았다. 홍진표 한국외대 정보통신공학과 교수는 <디지털타임스> 기고에서 “보안이 미리 강구되지 않은 사물인터넷 확산은 사회를 예상치 못한 위험으로 인도할 것”이라고 지적했다.

케이티 관계자는 방통위 결정에 대해 억울함을 호소하며 “걸린 죄가 이렇게 클지 몰랐다”고 했다. 다른 통신업체들도 걸리지 않았을 뿐 허술하기는 똑같다는 뜻이다. 다른 사업자들도 ‘케이티가 물귀신 작전을 쓴다’고 할 게 아니라, 케이티 사례를 타산지석으로 삼아 속속들이 점검해보면 어떨까 싶다. 정부는 올 하반기에 개인정보 관련 법을 고쳐, 유출 시 무조건 정신적 피해까지 보상하게 하고, 집단소송제도 도입하기로 했다. 케이티 사례와 같은 규모의 개인정보 유출 사고가 발생하면, 수천억원을 물어줄 각오를 해야 한다. 금융회사들도 마찬가지다.

김재섭 기자