[기자수첩] SKT 해킹, 드러난 것은 정보가 아니라 국가의 취약성이다

SK텔레콤 해킹 사태는 단순한 보안사고가 아니다. IMSI 2천695만 건, IMEI 29만 건이라는 엄청난 양의 데이터가 유출됐다는 사실보다 더 본질적인 문제는 이 사건이 한국 사회의 디지털 인프라가 얼마나 허약한 기반 위에 놓여 있는지를 보여주었다는 점이다.

유출된 것은 ‘숫자’가 아니라 ‘인간의 디지털 자아’
IMSI와 IMEI 정보는 단순한 통신기록이 아니다. 위치 이력, 기기 식별, 인증 절차, 나아가 금융정보와 연결되는 모든 출입구다. 이 정보들이 대량으로 외부로 유출됐다는 것은, 한 사람의 일상 전체가 ‘지속적으로 추적될 수 있는 상태’로 넘어갔음을 의미한다. 다시 말해, 통신 유심은 디지털 시대 개인의 정체성을 구성하는 핵심 데이터이며, 집단적 침해다.

악성코드 감염은 2022년 6월에 이미 시작됐다. 그러나 정부는 2024년 말까지 이를 인지하지 못했다. 게다가 3년 치 로그 기록이 사라진 상태였다. 이는 단순한 민간기업의 부주의로 치부하기엔 너무도 중대한 결함이다. 특히 정부는 SKT에서 수십 종의 악성코드가 발견됐음에도, 6천여 개 기관에 대한 점검 결과가 ‘모두 이상 없음’이었다는 결과를 발표했다. 그 자체가 새로운 의문을 자아낸다.

자발적 신고와 자율 점검에 의존한 정부 대응은 공공 조직의 구조적 특성을 간과한 결정이다. 신뢰를 기반으로 운영되는 지자체나 공기업이 해킹 사실을 먼저 고백할 리 만무하다. 결과적으로 정부는 이 사건에서 사실상 '모르쇠'로 일관했으며, 책임을 묻는 정치적 논의가 시작된 것도 이 때문이다.

‘디지털 시민권’을 보호할 체계는 작동하지 않았다
해당 사고는 “통신은 공공재인가, 사기업의 책임인가”라는 오랜 질문을 다시 꺼내 들게 한다. 실제로 국민들은 통신망을 통해 정부와 연결되고, 공공 서비스를 이용하며, 사회적 삶을 영위한다. 이는 통신 인프라가 단순한 민간 서비스가 아니라, 실질적 ‘디지털 공공영역’이라는 뜻이다.

그렇다면 이 인프라를 위협하는 행위, 즉 '해킹'은 단순한 기술 문제가 아니라 ‘디지털 시민권’ 침해로 간주되어야 한다. 유심 한 장에는 개인의 삶 전체가 압축돼 있다. 이것이 무력화됐을 때, 단순한 보상이나 교체만으로는 결코 원상복구가 불가능하다.


이제 필요한 것은 ‘보안정책’이 아니라 ‘디지털 재난 대응 체계’
정부와 통신사 모두 이를 계기로 ‘보안 체계 강화’만을 언급하고 있다. 그러나 지금 필요한 것은 개별 기업의 보안이 아니라, 전체 사회가 감내할 수 있는 디지털 재난 대응 체계다. 탐지·대응·공유·투명성이라는 4단계 구조를 갖춘, 실질적 위기관리 프로토콜이 마련되어야 한다.

무엇보다 ‘선의에 의존하는 통신 보안’이라는 구조 자체를 근본적으로 재검토할 시점이다. 정부는 통신을 공공의 영역으로 간주하고, 최소한의 통제권과 모니터링 체계를 상시적으로 확보해야 한다. 민간에 위임된 인프라를 완전히 신뢰한 채 방관하는 시대는 끝났다.

결론적으로 말하자면, 통신사 한 곳의 실패가 아니다. 그것은 곧 한국 사회가 의존하고 있던 ‘디지털 신뢰 체계’의 실패이며, 이 신뢰를 회복하지 못한다면 다음 해킹은 더 깊은 균열을 남길 것이다. 지금이야말로 정부와 사회 전체가 디지털 시대의 공적 책임을 어떻게 감당할 것인지를 묻고, 답해야 할 순간이다.