SKT-KT-롯데카드-쿠팡 정보 유출 사태

빅데이터 쌓은 기업들, 보안 역량은 ‘스몰’
약점 방치-늑장 신고-은폐에 신뢰 훼손

Article at a Glance

최근 한국에서는 SKT·KT·롯데카드·쿠팡 등 주요 통신·금융·플랫폼 기업에서 대규모 정보 유출 사고가 잇따라 발생하면서 사이버보안 위기가 심화되고 있다. 일련의 사고는 금전적 이익을 노린 정교한 해킹 공격으로 인해 촉발되고 있으며 초소형 기지국 장비를 악용한 인증정보 탈취(KT), 10년에 걸친 보안 취약점의 방치(롯데카드), 내부 접근 통제와 인증 관리의 실패(쿠팡) 등 다양한 구조적 문제를 노출하고 있다. 특히 기업들은 안이한 보안 인식과 리스크 관리로 기본적인 점검조차 소홀히 하는 등 ‘기술 실패’뿐 아니라 ‘거버넌스 실패’를 드러냈고 사고가 터진 뒤에도 감염 사실을 은폐하거나 축소했다. 정부는 대대적 보안점검, 제재 강화, 직권조사 확대 등 종합 대책을 내놓았지만 사이버 치안의 국가 책임, 과징금 제도의 합리성, 기업의 보안 인센티브 부족, 사전 예방 중심 정책 부재, 분절된 조직 구조 등 해결해야 할 과제가 여전히 산적해 있다.

---

통신사 해킹과 정보 유출로 온 나라가 떠들썩하다. 여기에 다시 카드사와 전자상거래업체까지 해킹 공격으로 정보 유출의 피해를 입으면서 이제 한국은 해킹과 정보 유출에 사실상 무방비 상태라는 비난을 피하기 어렵게 됐다. 2025년 4월에는 2500만 명 SKT 가입자의 유심정보 유출 사태가 있었고 같은 해 9월에는 KT 무단 소액결제 사건으로 현재까지 362명의 이용자가 약 2억4000만 원의 피해를 입었다. 같은 달에는 롯데카드 서버가 해킹되면서 회원 300만여 명의 개인정보가 유출됐다. 이 중 28만 명의 카드번호, 비밀번호, CVC 등 결제와 연관된 핵심 정보가 유출됐다. 11월에는 쿠팡에서 약 3370만 개의 고객 계정 정보가 유출됐으며 이 중에는 고객의 성명, 주소, 연락처, 이메일 주소 및 최근 주문 이력 등이 포함됐다.


반복되는 사태의 원인과 문제점

2025년 11월 정부의 조사 결과 발표에 따르면 KT 내부 서버 약 43대가 고도화된 백도어(Backdoor, 공격자가 감염된 서버를 은밀하게 원격 제어할 수 있는 프로그램) 악성코드인 BPFDoor에 감염됐으며 감염 서버 중 일부에는 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등 통신망·단말 식별 정보가 저장돼 있었던 것으로 확인됐다. 조사단은 이 서버 침해가 이번 사용자 신호 가로채기를 통한 소액결제 범죄와 연관돼 있을 가능성을 경고하고 있다. 특히 조사 결과 KT가 감염 서버를 폐기하고 신고하지 않은 것으로 나타나면서 문제가 됐고 정부는 이에 대해 형사 고발을 진행하기로 했다.