KT 해킹 과징금 세질듯 vs 롯데카드 ‘50억 한도' 논란

[이데일리 김현아 권하영 기자] KT(030200)가 해킹 침해 사실을 인지한 뒤 무려 3일이 지나서야 신고한 사실이 드러나면서 과태료와 과징금 상향 처분이 불가피해졌다.

반면, 대규모 개인신용정보가 유출된 롯데카드는 적용 법률 차이에 따라 최대 50억원까지만 과징금이 부과될 수 있어 논란이 확산되고 있다.

같은 해킹 피해임에도 법 적용에 따라 수십억 원에서 수천억원까지 제재 격차가 벌어지는 구조적 불균형이 다시 한번 부각된 셈이다.

[이데일리 이영훈 기자] 조좌진 롯데카드 대표이사(왼쪽 다섯 번째) 등 관계자들이 18일 서울 중구 부영태평빌딩에서 해킹 사고로 인한 고객 정보 유출사태에 대해 대고객 사과를 하고 있다.

KT, 24시간 규정 어기고 ‘3일 늑장 신고’

KT는 지난 9월 15일 오후 2시에 소액결제 해킹 침해 사실을 처음 인지했지만, 실제로 한국인터넷진흥원(KISA)에 신고한 시점은 18일 오후 11시 57분이었다. 법에서 정한 ‘사고 인지 후 24시간 이내 신고 의무’를 3일 넘겨 위반한 것이다.

현행 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’은 이를 어길 경우 최대 3천만 원의 과태료를 부과하도록 규정하고 있다. 국민의힘 최수진 의원은 “SK텔레콤에 이어 KT마저 늑장 신고로 피해를 키웠다”며 “소액결제 사고에 이어 보안 대응까지 부실해 국민적 불안을 가중시키고 있다. 국회 차원에서 철저히 따지겠다”고 강조했다.

최민희 위원장 등 국회 과학기술정보방송통신위원회 더불어민주당·조국혁신당 의원들이 19일 대규모 해킹피해 관련 서울 서초구 한국통신연구개발본부를 방문, 현장조사를 하고 있다. (사진=연합뉴스)

KT 해킹 피해 확산·과징금 리스크

과학기술정보통신부와 KISA 조사 결과, 이번 해킹은 불법 초소형 기지국(일명 펨토셀)을 활용한 공격으로 확인됐다. 현재까지 피해자만 362명, 불법 기지국에 노출된 개인정보는 2만여 건(전화번호·IMSI·IMEI)으로 추정된다.

KT는 개인정보보호법 적용을 받아 전체 매출액의 3%에 달하는 과징금을 부과받을 수 있다. 앞서 SK텔레콤은 ARS 무단 결제 같은 2차 피해가 발생하지 않았음에도 불구하고 공포심만으로 1348억원의 과징금을 부과받은 바 있다. 이에 따라 KT 역시 수십·수백억원대 제재가 이뤄질 수 있다는 예상이 나온다.

롯데카드, 297만명 신용정보 유출에도 ‘50억 한도’

문제는 금융사에 적용되는 법체계다. 롯데카드는 해커가 온라인 결제 서버에 침입해 200GB에 달하는 데이터, 297만 명의 개인신용정보를 유출당했다. 특히 28만명은 카드번호, CVC 번호, 카드비밀번호 등이 유출돼 부정사용 피해 가능성에 노출된 상황이다. 이재명 대통령은 “주요 통신사, 금융기관에 대한 해킹으로 국민 피해가 늘고 있다”며 범정부 차원의 종합 대책 마련을 지시했다.

그럼에도 불구하고 적용 법률은 ‘신용정보의 이용 및 보호에 관한 법률(신용정보법)’이다. 이 법은 과징금 상한을 ‘50억원 이하’로 제한한다. 반면 일반 기업은 개인정보보호법 적용으로 매출액의 3%를 기준으로 과징금이 산정돼 수백억~수천억원이 부과될 수 있다.

결국 통신사와 일반 기업은 천문학적인 제재를 받는 반면, 금융사는 수십억원에 그칠 수 있는 불균형 구조가 드러난 것이다.

류제명 과학기술정보통신부 제2차관(오른쪽)과 권대영 금융위원회 부위원장(왼쪽)이 19일 정부서울청사에서 합동브리핑을 진행하고 있다. (사진=권하영 기자)

법·제도 불균형에 업계·전문가 비판

남석 개인정보보호위원회 조사국장은 “신용정보는 신용정보법이 우선 적용되며, 만약 주민등록번호 등 일반 개인정보가 포함됐다면 개보법상 과징금 부과도 가능하다”며 “이번 사건은 유출된 정보 성격을 더 들여다봐야 한다”고 설명했다.

하지만 법체계 자체가 불균형하다는 지적이 더 크다. 김태오 창원대 교수는 “현행 개인정보보호법은 상업적 이득과 무관한 해킹 사건에도 매출액 기준 과징금을 동일하게 적용해 과도하다”며 “신용정보법처럼 정액 과징금 제도가 더 합리적”이라고 지적했다.

업계 관계자들 역시 “통신사는 매출이 수십조 원이어서 과징금이 수천억 원에 달할 수 있는데, 금융사는 더 심각한 개인정보가 유출돼도 최대 50억 원이면 끝난다”며 “금융사의 보안 투자 유인을 떨어뜨리고 형평성 논란을 키운다”고 입을 모았다.

제도 개선 불가피

KT의 ‘늑장 신고’로 인한 과태료, 개인정보보호법에 따른 고액 과징금, 롯데카드의 법 적용 한계가 동시에 부각되면서 제도 불균형 문제는 향후 국회와 정부의 정책 과제로 떠올랐다.

국회는 이번 정기국회에서 개인정보보호법과 신용정보법의 적용 범위를 조정하거나, 업종별 특성을 감안해 과징금 산정 방식을 합리화하는 논의를 본격화할 전망이다. 전문가들은 “보안사고가 갈수록 대규모화·고도화되는 만큼, 법체계도 피해 구제와 기업 책임을 동시에 강화할 수 있는 방향으로 손질해야 한다”고 제언했다.