"피해자 특정 안돼도 전 가입자에 즉시 공지해야"
"금융사고 가능성…위약금 면제되도록 법 개정 필요"

지난달 28일 서울 중구 한 SK텔레콤 공식 인증 대리점을 찾은 고객들이 유심을 교체하기 위해 기다리고 있다.

국회입법조사처는 최근 발생한 SK텔레콤 해킹 사건과 관련해, 통신사 보안 사고 발생 시 피해자가 명확히 특정되지 않더라도 전체 가입자를 대상으로 즉시 공지하고, 위약금 면제 등 피해 배상 규정을 보다 유연하게 적용하도록 법률 개정이 필요하다고 밝혔다.

입법조사처는 7일 발간한 '통신사 해킹 사고 사후 대응의 문제점과 입법과제' 보고서를 통해 이같이 제언했다. 보고서에 따르면, 이동통신망의 핵심 시스템이 해킹될 경우 사회 전반에 막대한 영향을 미치고 국가 안보에도 심각한 위협이 될 수 있어 구조적인 대응책 마련이 시급하다.

이번 SKT 해킹 사건을 통해 기업의 자율적인 대처와 정부 대응 시스템의 한계점이 드러났다고 보고서는 지적했다. SKT는 해킹 발생 초기, 자사 홈페이지를 통해서만 정보 유출 사실을 알렸고, 상당 시간이 지난 후에야 전체 가입자에게 유심 보호 서비스 가입 안내 문자를 발송하기 시작한 점이 문제로 언급됐다.

보고서는 "해킹 사고 발생 후 빠른 시간 안에 유출 피해자를 특정하지 못한다면, 이는 유출 범위와 내용을 정확히 파악하지 못하는 상황이므로 최악의 경우를 가정하고 대응해야 한다"고 강조했다. 이에 따라 개인정보보호법을 개정해, 개인정보 유출 대상자가 특정되지 않더라도 모든 가입자에게 구체적인 상황과 대응 방법을 개별적으로 통지하도록 의무화할 것을 주문했다.

또한, 해킹 사고가 광범위하거나 중대한 위험으로 확산할 가능성이 있다고 판단될 경우, 재난 경보 체계를 활용할 수 있도록 정보통신망법 또는 방송통신발전 기본법 개정 필요성도 제기됐다. 2022년 SK C&C 데이터센터 화재로 인한 카카오 서비스 장애 당시에는 정부가 재난 문자를 발송했지만, 이번 SKT 해킹 사건에서는 그러한 조치가 없었다는 점이 지적됐다.

보고서는 정부의 해킹 사고 조사 권한을 강화하기 위해 정보통신망법 개정도 필요하다고 제언했다. 현재 과학기술정보통신부 주도의 민관 합동 조사단이 조사를 진행 중이지만, 자료 제출 요구 등에 대한 강제력이 부족한 실정이다. 입법조사처는 기업의 소극적인 대응이나 사고 은폐를 막고 실효성 있는 조치를 끌어내기 위해 과태료 상향 또는 이행강제금 부과 등 최소한의 조사 강제력 확보 방안을 제시했다.

아울러 기업이 피해자에게 실질적인 구제 조치를 제공하고 피해자가 쉽게 보상받을 수 있도록 전기통신사업법, 정보통신망법, 개인정보보호법 등의 개정도 필요하다고 덧붙였다. 특히, 피해자가 개인정보 유출과 실제 피해 사이의 인과관계를 입증하기 어려운 점을 고려해, 개인정보보호법에 인과관계를 추정할 수 있는 규정을 마련하는 방안을 검토해야 한다고 강조했다.

박유진 기자 genie@asiae.co.kr

Copyright © 아시아경제. 무단전재 및 재배포 금지.