[디지털정보위][보도자료]
민변 디지털정보위원회,
SKT 유심정보 유출 피해 원고 485명 대리하여 SKT상대로 손해배상 청구 소장 접수
1. 귀 언론사의 노고에 감사드립니다.
2. 개인정보보호위원회 분쟁조정위원회는 SK텔레콤(이하 ‘SKT’) 유심정보 유출 사태와 관련하여, 지난 2025. 11. 3. 신청인들(전체 3,998명)에게 1인당 30만원의 위자료 지급을 권고하는 내용의 조정안을 의결하였으나, SKT는 끝내 조정안 수락을 거부하였습니다.
3. SKT는 전체 피해자가 동일 수준의 배상을 요구할 경우 최대 수조원대 책임이 발생할 수 있다는 이유를 들어 조정안을 거부하였으나, 분쟁조정위원회가 제시한 30만 원은 약 2300만명에 달하는 이용자의 휴대전화번호, IMSI, 유심인증키 등 심각한 개인정보 유출 피해를 입힌 점, 2차 피해 우려 가능성 등을 산정한 최소한의 위자료 금액이었습니다. 그럼에도 SKT는 이를 거부함으로써 이용자에 대한 최소한의 피해회복의무를 외면하였습니다.
4. 이에 민주사회를 위한 변호사모임 디지털정보위원회는 유심정보 유출 피해를 입은 원고 485명을 대리하여 SKT를 상대로 각 30만 원의 손해배상청구를 제기합니다. SKT는 개인정보보호법상 안전조치의무 위반, CPO 지정·업무 수행 소홀, 정보주체에 대한 유출 통 지 지연 등의 불법행위로 개인정보보호법 제39조의2 내지 제39조, 민법 제390조 내지 제750조에 따라 손해를 배상할 책임이 있습니다. 아울러 원고 일부는 부득이 SKT와의 이용계약을 해지하고 통신사를 이동하여 위약금을 납부할 수밖에 없었으므로, 약관 제43조 내지 민법 제741조에 따라 위약금 반환 의무도 있습니다.
5. 이번 소송은 거대 통신사가 소비자에 대한 개인정보 보호 의무를 방기한 것에 대해 엄중한 책임을 묻기 위한 시작입니다. SK텔레콤은 법적 책임을 회피하기보다 피해 고객들에 대한 진정성 있는 사과와 정당한 손해배상에 즉각 나서야 할 것입니다. 아울러 법원은 이번 유출 사고의 실체적 진실을 명백히 규명하여, 정보 주체의 권리가 실질적으로 보호받을 수 있는 판결을 내려주길 기대합니다.
■[첨부] 소장 개요
2026년 2월 23일
민주사회를 위한 변호사모임 디지털정보위원회
■[첨부] 소장 개요
청 구 취 지
1. 피고는 원고들에게 각 300,000원 및 이에 대하여 이 사건 소장 부본 송달일 다음날부터 다 갚는 날까지 연 12%의 비율로 계산한 돈을 지급하라.
2. 소송비용은 피고가 부담한다.
3. 제1항은 가집행할 수 있다.
라는 판결을 구합니다.
청 구 원 인
1. 이 사건 유출 경위 및 피해 상황
가. 유출 경위
■ 개인정보보호위원회는 해커가 ① 2021. 8. 피고의 내부망에 최초로 침투해 다수 서버에 악성 프로그램을 설치했고, ② 2022. 6.에는 ICAS(통합고객인증시스템) 내 악성프로그램을 설치해 추가 거점을 확보하였으며, ③ 그 이후 2025. 4. 18.에 가입자의 이동통신망 접속을 위한 인증시스템인 HSS(Home Subscriber Server, 홈가입자서버) DB에 저장된 이용자의 개인정보 총 9.82GB를 외부로 유출한 사실을 확인함
나. 원고들 피해 상황
■ 개인정보 보호위원회는 조사 결과 원고들을 비롯하여 LTE와 5G 서비스 전체 이용자 23,344,649명의 휴대전화번호, IMSI(이동통신가입자식별번호), 유심 인증키(Ki), 유심 인증키(OPc) 등 25종의 정보가 유출된 사실을 확인함
2. 피고의 위법행위
가. 안전조치 의무 위반
■ 접근통제를 위한 안전조치 소홀 – 인터넷과 내부망 사이의 보안 운영 환경을 불법적인 침입에 취약한 상태로 관리·운영함
■ 개인정보취급자의 접근권한 관리 소홀 – 약 2,365개 분량 다수 서버의 계정정보(아이디·비밀번호 약 4,899개)가 저장된 파일을 관리망 서버에 암호 설정 등 제한 없이 저장·관리함
■ 백신 등 보안 업데이트 미조치 및 운영체제 업데이트 미실시 – 운영체제 보안 취약점은 이미 보안 경보가 발령되어 인지하고 있었음에도 보안 취약점을 가진 OS를 설치하였고, 보안 업데이트 실시하지 않음
■ 유심 인증키 암호화하지 않고 평문으로 저장 – 유심 인증키(Ki) 2614만 4362건을 암호화하지 않고 평문으로 HSS DB 등에 저장하여 해커가 원본 그대로를 확보할 수 있었음
■ 접속기록 보관 및 점검 소홀 – 가상 데스크톱 인프라(탱고VDI)에 접속하여 수행한 업무내역에 대해 월1회 이상 정기 점검 의무를 방기함
■ 내부 관리계획 수립·시행 및 점검 소홀 – 개인정보보호를 위해 수립한 내부 관리계획을 통신 인프라 영역에는 적용하지 않고, 이행실태 점검 및 관리를 소홀히 함
나. CPO 지정·업무 수행 소홀
■ 이동통신 서비스 제공을 위한 개인저보를 처리하면서도 개인정보 보호책임자의 역할은 IT영역에 한정되도록 구성 및 운영하여, 인프라 영역은 실태조차 파악하지 못하는 등 CPO의 관리 감독이 사실상 이뤄지지 않음
다. 유출통지 ·신고 지연
■ SKT는 2025. 4. 19.경 개인정보 유출 사실을 인지하였음에도 법령에서 정한 72시간 내에 유출된 이용자를 대상으로 유출 사실을 통지하지 않아 이로 인한 사회적 혼란을 가중시킴
3. 피고의 중과실
■ 피고는 해커의 치밀한 공격에 의하여 어쩔 수 없이 피해를 입은 것이 아니라, 개인정보 처리자로서 기본적인 안전조치의무를 위반한 것으로 중과실의 책임이 있음
4. 원고들의 손해
■ 이 사건 유출로 인한 피해 규모 및 중대성 – 금융을 비롯한 각종 서비스의 본인 확인 수단으로 휴대전화가 사용되고 있는 현실에서 일상적인 생활에서 원고들의 불안감은 커질 수밖에 없으며, 그 불안감은 현재까지 진행되고 있음
■ 원고들의 실질적 손해 발생 – 원고들은 추가 피해 방지를 위하여 직접 ① ‘유심 안심 서비스’에 가입해야 하는 번거로움을 겪었으며, ②유심 교체를 위하여 피고 영업 매장을 직접 방문하며 시간과 노력을 실질적으로 소비할 수밖에 없었음
■ 추가 피해가 이미 발생하였거나 발생할 개연성이 높음 – 이동통신가입자식별번호(IMSI), 단말기고유식별정보(IMEI) 한가지만 유출되더라도 휴대폰 복제 활용이 가능하여, 복제폰 생성이 가능한 상태에 놓여있음
5. 피고의 손해배상책임
■ 개인정보보호법 제39조의2 “제39조 제1항에도 불구하고 정보주체는 개인정보처리자의 고의 또는 과실로 인하여 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손된 경우에는 300만원 이하의 범위에서 상당한 금액을 손해액으로 하여 배상을 청구할 수 있다. 이 경우 해당 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.”
■ 개인정보보호법 제39조 “정보주체는 개인정보처리자가 이 법을 위반한 행위로 손해를 입으면 개인정보처리자에게 손해배상을 청구할 수 있다. 이 경우 그 개인정보처리자는 고의 또는 과실이 없음을 입증하지 아니하면 책임을 면할 수 없다.”
■ 개인정보보호의무 불이행 (채무불이행)으로 인한 손해배상 책임(민법 제390조), 고의 또는 과실로 개인정보보호법 위반(불법행위)로 인한 손해배상책임(민법 제750조)
6. 위약금 반환
■ 피고 이용 약관 제43조는 피고의 귀책사유로 인해 이용계약을 해지할 경우 위약금 면제하도록 정하고 있으나, 원고 일부는 부득이 피고와의 이용계약을 해지하고 통신사를 이동하여 위약금을 납부할 수밖에 없었으므로, 약관 제43조 내지 민법 제741조에 따라 위약금 반환 의무가 있음
Views: 922