SK텔레콤, ESG 평가서 '개인정보 유출' 직격탄...A+ 등급서 B+로 추락

유영상 CEO가 2일 진행된 고객 보호 추가 조치 방안 설명회에서 사과하는 모습. SKT 제공 [뉴스락]

[뉴스락] SK텔레콤이 대규모 개인정보 유출 사고로 ESG 사회등급에서 2단계 하락했다.

14일 한국ESG기준원에 따르면, SK텔레콤은 2025년 2분기 ESG 등급 조정에서 S(사회) 부문 등급이 기존 A+에서 B+로 조정됐다.

한국ESG기준원은 정보보호 및 개인정보보호 리스크 관리가 미흡했다고 조정 사유를 밝혔다.

개인정보보호는 ESG 평가에서 사회 부문의 핵심 평가 요소 중 하나다.

통신사업자는 고객의 통신 기록, 위치 정보 등 민감한 개인정보를 대량으로 보유하고 있어 정보보호 체계가 더욱 엄격하게 평가받는다.

이번 등급 하락의 직접적인 원인은 지난 4월 18일 발생한 대규모 개인정보 유출 사고다.

SK텔레콤의 홈 가입자 서버(HSS)에 악성코드가 침입해 고객들의 유심(USIM) 관련 정보가 대량 유출됐다.

유출된 정보 규모는 IMSI(이동가입자식별번호) 기준 2695만 7749건에 달했다. 이는 SK텔레콤 가입자와 알뜰폰 이용자를 합친 전체 고객 수인 2500만명을 웃도는 수치다.

유출된 정보에는 유심 인증키(KI), IMSI, 단말기 고유식별번호(IMEI), 전화번호 등이 포함됐다.

특히 조사 결과 해커가 2022년 6월 15일부터 악성코드를 설치해 약 3년간 장기간에 걸쳐 공격을 진행한 것으로 밝혀졌다.

중국계 해커 그룹이 주로 사용하는 BPFDoor라는 악성코드와 웹셀이라는 신종 수법이 동시에 사용됐다.

SK텔레콤은 사고 발생 후 전국 매장에서 2300만명 전 가입자를 대상으로 유심 무상 교체를 실시했고, 유심보호서비스를 무료로 제공하는 등의 사후 대책을 마련했다.

하지만 이미 실추된 신뢰를 회복하기까지는 상당한 시간이 걸릴 것으로 예상된다.

한국ESG기준원은 앞으로도 개인정보 관련 중대 사건 발생 시 신속한 등급 조정을 통해 기업들의 책임 경영을 유도하겠다는 입장이다.