김영섭 퇴임 코앞, 박윤영 체제 전환 앞둔 KT
정부 “회사 귀책·의무 위반” 판단...보안 사고, 경영 책임으로 확산
감염 서버 인지 후 미신고 정황...보고·통제 체계 작동 여부 도마
가입자 31만 이탈 현실화...새 대표보다 기존 체제 책임 정리 선행 요구
KT 사옥(사진=연합뉴스)/뉴스후플러스
이달 말 KT 주주총회에서는 박윤영 대표이사 후보 선임 안건이 상정되면서 김영섭 KT 대표 임기가 끝날 예정
이다. 다만,
KT가 새 대표 체제로 무게중심을 옮기기 전에 김영섭 체제에서 드러난 통제 실패를 어디까지 정리했는지, 또 퇴임 전까지 어떤 후속 조치를 직접 책임지고 마무리했는지에 대한 설명이
선행돼야 한다는 요구
가 커지고 있다.
지난해 일어난 KT 보안사고를 둘러싼 쟁점은 최근 단순 해킹 여부를 넘어 최고경영진의 관리 책임을 묻는 국면으로 전환
되고 있다. 정부가 이미 회사 과실과 주된 의무 위반 판단을 내린 데다, 사고 여파가 대규모 가입자 이탈로 이어지면서 이번 사안을 기술 부서 차원의 사고로 축소해 정리하기 어려운 단계에 들어섰기 때문이다.
◇ 정부가 이미 '회사 귀책'으로 본 사고
과기정통부는 KT 해킹 사고를 두고 펨토셀 관리와 보안 거버넌스가 부실했고, 안전한 통신서비스 제공이라는 계약상 주된 의무도 다하지 못했다고 판단
했다. 감염 서버 94대와 악성코드 103종이 확인됐고, 위약금 면제 기간 2주 동안 가입자 약 31만명이 이탈했다.
이번 사안의 중대성은 피해 규모를 넘어 정부가 ‘회사 귀책’을 명확히 판단했다는 점에 있다
. 과기정통부는 불법 펨토셀에 접속한 KT 이용자 2만2227명의 가입자 식별번호, 단말기 식별번호, 전화번호가 유출됐고, 368명이 무단 소액결제로 약 2억4300만원 피해를 입었다고 밝혔다.
이는 단순 해킹 사고로 설명하기 어려운 수준이다.
정부가 특히 문제 삼은 것은 보안 실패의 구조적 성격이다.
과기정통부는 KT가 펨토셀의 생산, 납품, 내부망 접속 인증 전반에서 보안 관리 체계 전반에 구조적 공백
이 있었고
, 전사 차원의 정보보호 거버넌스와 자산 관리 체계도 미흡했다고 지적
했다.
특히 이번 사고와 관련해 KT의 펨토셀 인증서 관리, 외주 제작사 보안관리, 비정상 IP 접속 관리, 제품 형상정보 검증 등 기본 보안조치 과정에서 중대한 관리 결함이 확인됐고, 그 과정에서 정보통신망법 위반 사실이 확인됐다고 명시
했다.
결론도 분명했다. KT가 안전한 통신서비스 제공을 위해 일반적으로 기대되는 사업자의 주의 의무를 다하지 못했고, 계약상 주된 의무 역시 이행하지 못했다는 것이다.
◇ 사후 수습 나선 김영섭 체제...선제 대응은 흐렸다
김 대표가 사후 대응에 나선 것은 사실이다.
그는
2025년 9월 소액결제 피해와 관련해 공개 사과하고 100% 보상을 약속
했고, 12월 30일에는 다시 고개를 숙이며
위약금 면제와 고객 보답 프로그램, 정보보안 혁신 대책을 발표
했다.
같은 시기 KT는 향후 5년간 약 1조원 수준의 정보보안 투자를 통해 제로 트러스트 확대, AI 기반 통합 관제 고도화, 접근권한 관리 및 암호화 강화 등을 추진하겠다는 계획을 제시했다.
사과하는 김영섭 KT 대표 (사진=연합뉴스)/뉴스후플러스
하지만 정작
정부 조사에는 KT가 2024년 3월부터 7월까지 악성코드 감염 서버를 발견하고도 정부 신고 없이 자체적으로 처리한 정황이 확인됐다.
중간조사 결과에서는 43대 서버, 최종 브리핑에서는 41대 서버를 정부 신고 없이 자체 조치했다고 설명
했다. 숫자 차이는 조사 진행에 따른 정리 과정으로 보이지만, 핵심 쟁점은 변하지 않는다.
KT가 과거 감염 사실을 알고도 적시에 정부에 보고하지 않았다는 사실이다.
이는 단순 보고 누락이 아니라 최고경영진의 통제·관리 책임이 실제로 작동했는지를 직접적으로 묻는 사안이다.
이 대목은 김영섭 체제 책임을 더 세게 묻게 만든다.
KT 이사회 자료를 보면
2025년 9월 16일 '2025년 1차 정보보안 점검 결과 보고'가 이사회에 접수
됐다. 즉,
정보보안 문제가 최소한 그 시점에는 이사회에 공식 보고된 사안이라는 의미
다.
하지만 사고 대응이 선제적 체계 개편으로 이어졌는지는 확인되지 않는다. 이는 해당 사안이 이사회에 보고된 이후에도 선제적 대응 체계로 전환되지 않았을 가능성을 시사한다.
일각에선 김영섭 대표가 퇴임을 앞둔 시점에 필요한 것은 '보안 투자를 늘리겠다'는 선언보다, 당시 어떤 보고를 받았고 어떤 지시를 내렸으며 무엇이 실제로 실행됐는지 설명해야 된다는 의견
이 나온다.
사후 보상과 투자 계획만으로는 사고 이전의 통제 실패를 설명하기 어렵다는 지적이다.
◇ 박윤영 체제 출범보다 먼저 물어야 할 것
KT는 3월 31일 정기주총에서 박윤영 후보를 대표이사로 선임하는 안건을 올린 상태
다. 회사는 새 대표 체제로 전환을 서두르고 있지만, 시장은 이미 다른 숫자를 보고 있다.
KT가 위약금 면제 조치를 시행한 2025년 12월 31일부터 2026년 1월 13일까지 약 31만명의 가입자가 다른 통신사로 이동했다. 마지막 날 하루에만 4만6120명이 이탈했다. 이는 단순 이미지 훼손을 넘어 실제 사업 기반 훼손으로 이어졌음을 보여준다.
KT가 지금 먼저 설명해야 할 것은 박윤영 체제의 청사진이 아니라, 김영섭 체제에서 발생한 통제 실패를 어디까지 정리했느냐는 점
이다.
김영섭 대표가 퇴임 전까지 직접 무엇을 정리했고, 무엇을 남겼는지에 대한 설명이 빠지면 이번 보안사고는 '수습된 사건'이 아니라 '덮고 넘어간 사건'으로
인식될 가능성을 배제하기 어렵다. 이에 대한 설명이 선행되지 않는다면 이번 사안은 정상적으로 정리된 사건으로 보기 어렵고, 미해결 리스크로 남을 수밖에 없다.
본지는 KT에 김영섭 대표 임기 종료 전 직접 완료했거나 지시한 후속조치, 최고경영자(CEO) 직속 정보보안 혁신 TF의 현재 운영 현황, 5년간 1조원 보안 투자 계획의 예산 확정 및 집행 현황, 과기정통부가 지적한 펨토셀·인증서·외주 보안관리 항목의 실제 개선 여부, 새 경영진에 인계할 미해결 과제 등을 질의했지만 KT는 현재까지 이에 대한 구체적인 설명을 내놓지 않고 있다.
<미래희망을 여는 언론, 정도를 걷는 언론 '뉴스후플러스'는 항상 국민들과 함께 하겠습니다. 국민들 주변에 만연해 있는 부정·부패, 비리, 일상의 불편함, 사건·사고 등 모든 제보를 기다리고 있습니다. swag0sa@newswhoplus.com>
댓글
0