솔직했지만 과징금은 더 많이 부과됐다. 지난해부터 올해 이어진 국내 통신 3사 해킹 사고의 결말이다. 누구도 예상하지 못했지만 자신의 과오를 스스로 밝혔을 때 책임도 무거워졌다.

AI 등 첨단 기술이 발전하면서 해킹을 원천적으로 막는 것은 역부족이다. 사후 대책을 신속히 마련해 피해를 최대한 줄이는 것이 최선이다. 사고를 인지한 즉시 관련 기관들과 공조해야 하지만 현행법상 자신의 과오를 스스로 밝히면 중죄, 덮으면 무죄다.



최대 과징금을 부과받은 SK텔레콤은 스스로 신고했지만 KT는 숨겼다. LG유플러스는 증거를 없애 과징금을 피했다. SK텔레콤은 지난해 4월 해킹 정황을 인지한 지 이틀 만에 당국에 신고했다. 통신 3사 중 유일한 자진신고였다. 다만 해커가 내부망에 처음 침투한 시점은 2021년 8월, SK텔레콤이 이를 알아챈 건 2025년 4월이었다. 탐지까지 4년가량 걸렸다.

개인정보보호위원회는 유출 탐지와 통지가 모두 늦었다고 판단하고, 통지 지연으로 피해를 키웠다고 봤다. 과징금은 1347억9100만원, 통신 3사 중 최대다. 이후 고객 보상과 정보보호 투자, 신뢰 회복을 위해 SK텔레콤이 투입한 금액은 2조원을 웃돈다고 전해진다.

KT는 다른 길을 걸었다. 이번 해킹은 소액결제 피해가 잇따르고 난 후에야 세상에 알려졌다. 조사가 시작되자 서버 로그부터 지웠다. 보존 자료가 없다고 진술하다가 삭제 정황이 드러나자 말을 바꿨다. 소액결제 피해에도 과징금은 539억7900만원만 부과됐다. KT는 2024년 3월에도 서버가 악성코드에 감염된 사실을 알고도 신고하지 않았다.



LG유플러스는 과감했다. 정부로부터 해킹 정황을 통보받았지만 개인정보위 조사가 시작되기 전 서버 운영체제와 장비를 교체했다. 침해 경로와 유출 규모를 확인할 수 없도록 물증 자체를 치워 과징금을 매길 근거를 없앴다. 의도적 회피였다는 지적이 나오지만 부과된 과징금은 0원이다. 조사가 시작되기 전 어떻게 해야 법을 비켜갈 수 있는지 증명했다.

2016년 인터파크의 대규모 개인정보 유출 사고 때도 배상은 상징적 수준에 그쳤다. 1030만명의 정보가 빠져나갔지만 과징금은 44억8000만원만 부과됐다. 실제 배상받은 사람은 소송에 나선 극소수뿐이었다. 기업 입장에서 개인정보 유출은 오래전부터 감당할 만한 '싼 사고'였다.

이번 통신 3사 사고는 오래된 계산법에 신고와 은폐라는 변수가 더해졌고 정직하면 손해라는 사실을 처음으로 구체적인 처분 사례를 통해 확인시켰다. 신고는 확실한 손해지만 은폐는 확률 높은 도박이란 인식을 명확히 했다. 위기관리 대응력이 부족한 중소기업일수록 이 같은 행동이 노골적으로 작동하지는 않을지 우려된다.

2018년 시행된 유럽연합 개인정보보호 통합규정 GDPR(General Data Protection Regulation)은 유출을 인지한 뒤 72시간 안에 신고하지 않으면 그 자체를 별도 위반으로 본다. 신고 의무를 게을리하는 것만으로도 처벌 대상이 된다. 유출을 막지 못한 책임과 별개로 알리지 않은 책임을 따로 묻는다.

우리나라도 문제를 인식하고 뒤늦게라도 움직인 것은 다행이다. 조사 착수 전 증거인멸을 형사처벌하고 전체 매출액의 3%를 과징금으로 물리는 방안이 개인정보위의 연내 입법 과제로 제시됐다. '증거가 없으니 책임도 없다'는 인식을 그대로 두면 다음에도 같은 패턴이 반복될 가능성이 크다.

기업의 선택은 제도에 따라 결정된다. 신고가 손해고 은폐가 사실상 면책 받을 수 있는 구조에선 침묵이 합리적 선택이다. 과징금 액수를 올리는 것만이 능사도 아니다. 증거를 없앤 쪽이 유리해지는 판을 뒤집어 감출수록 불리해지는 구조로 바꾸는 것이 먼저다.