2025년은 대한민국에서 역대급 보안 사고가 연이어 터진 한 해였습니다. 올해 발생했던 주요 보안 사고들과 이슈들을 되짚어보면서 보안이 우리 삶에 얼마나 중요한 부분을 차지하는지 다시금 고민해보는 시간을 갖고자 합니다. [편집자주]

국내 통신 3사 모두 해킹...CEO 교체 등 경영 이슈 비화
신고 지연, 증거 은폐 등 의혹도

[보안뉴스 여이레 기자] 2025년 SK텔레콤, KT, LG유플러스 등 국내 이동통신 3사가 모두 해킹 사고를 겪으며 수많은 고객 개인정보 유출은 물론 2차, 3차 피해까지 우려되는 초유의 상황이 벌어졌다. 이통 3사는 보안 관리 미흡, 신고 지연, 증거 은폐 시도 등이 드러나며 이용자 신뢰와 기업 신뢰도가 크게 실추됐다.

잇따른 해킹 사고로 이통 3사 영업이익은 40% 급감하며 대형 통신사의 법적·재무적 리스크가 고조되고 있다. 정부와 국회는 침해 신고 의무 강화, 조사 권한 확대, 기업 처벌 강화 등 제도 개선을 예고했다. 통신 산업 전체에 대한 근본적 보안 점검과 신뢰 회복이 시급하다는 목소리가 높아지고 있다.


[자료: 연합뉴스]

SK텔레콤(SKT)에선 4월 홈가입자서버(HSS)가 해킹 당해 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki) 등 총 25종의 정보가 유출됐다. 개인정보 유출 규모는 총 2696만 건에 달한다.

해커는 2021년부터 내부망에 악성코드를 설치했고, 보안 패치와 접근권한 관리 소홀 등 시스템 취약점을 노렸다. 개인정보위원회는 SKT에 역대 최대 과징금 1348억원을 부과했고, 민관합동조사단은 2022년 침해 사실 은폐와 사고 대응 부실을 지적했다.

이로 인해 SKT는 최고경영자(CEO)를 전격 교체하고, 대대적 조직을 개편했다. 기존 유영상 대표는 해킹 사태의 책임을 지고 물러났으며, 신임 CEO로 정재헌 대외협력 사장이 선임됐다. 정 신임 대표는 서울중앙지법 부장판사 출신으로, SKT 최초 법조인 CEO다. 이번 인사로 대외 리스크 대응과 신뢰 회복에 방점을 찍은 모양새다.

조직적으로도 임원진 30%를 감축하며 강도 높은 구조조정에 착수했다. 통신(MNO)과 인공지능 사업을 독립적 사내회사(CIC) 체제로 강화하는 구조개편을 추진, 각 분야 책임 경영과 핵심 사업 경쟁력 제고를 노린다. 또 정보보호 거버넌스와 커뮤니케이션 조직을 확대해 보안 역량 및 대외 신뢰도 회복에도 집중하고 있다.

KT는 2024년 발생한 해킹 침해 사실을 1년 6개월 간 숨겼다가 2025년 하반기에야 신고했다. 피해 서버를 폐기하며 증거 은폐 의혹도 불거졌다. 내부 서버 43대에서 개인정보 유출 가능성이 확인됐으며, 구조적 보안 취약점과 단일 암호키 관리가 문제로 지적됐다. 정부는 KT의 고의 은폐 사실을 경찰에 수사 의뢰했고, 법적 리스크와 가입자 이탈 등 경영 불확실성이 커졌다.

특히 KT는 SKT 유심 해킹에 쓰인 ‘BPF도어’ 악성코드에 감염됐음에도 이를 신고하지 않았던 것으로 드러났다. (본지 2025년 5월 21일 ‘[단독] SKT 공격한 악성코드 BPF도어, KT 서버도 침투했나’ 기사 참조)

이번 사태로 KT 역시 CEO 교체 국면을 맞게 됐다. 김영섭 KT CEO가 이번 사태에 책임을 지고 물러나며 차기 CEO에 관심이 모이고 있다.

LG유플러스는 2025년 7월 해킹 정황을 인지하고도 KISA 신고를 미루다 10월에야 침해 사실을 공식 발표했다. 해킹 정황은 7월 화이트해커의 제보로 처음 인지됐고, 한국인터넷진흥원(KISA)과 국정원이 관련 내용을 LG유플러스에 통보했다.

하지만 일부 서버를 정황 통보 열흘 만에 폐기했다는 의혹도 제기된다. 조사 결과 임직원 167명의 실명정보, 계정 4만2000여 개 등이 유출된 것으로 파악된다. 여기에 서버 운영체제 업데이트와 관리 부실 의혹까지 불거지며 소비자 불신이 가중됐다.

이번 LG유플러스 사태는 현행 법률의 한계를 여실히 드러냈다. ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’은 기업이 자진신고를 해야만 조사에 나설 수 있도록 규정하고 있어, 기업이 신고를 회피할 경우 정부의 대응이 제한적일 수밖에 없다.

때문에 법 개정 논의도 거론된다. 특히 사이버 보안이 국가 안보와 직결되는 상황에서 기업의 자진신고에만 의존하는 현행 제도의 한계가 명확히 드러난 만큼, 보다 적극적인 조사 체계 구축이 필요하다는 지적이 나온다.

[여이레 기자(gore@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>