SK컴즈 네이트·싸이월드 3500만명 개인정보 유출 (2011)

2011년 7월 26일 SK커뮤니케이션즈가 운영하는 포털 네이트와 소셜네트워크 싸이월드의 서버가 해킹당했다. 공격자는 내부 개발자 PC를 집중 공격해 관리 시스템에 침투한 뒤 회원 데이터베이스에서 정보를 빼냈다. 유출된 정보에는 주민등록번호와 실명, 혈액형, 비밀번호 등 거의 모든 개인정보가 총망라됐다. 당시 국민 상당수가 가입해 있던 서비스였던 만큼 사회 전체가 충격에 빠졌다. 이는 국내에서 벌어진 단일 최대 규모의 개인정보 유출 사고로 기록됐다.

SK커뮤니케이션즈는 해킹이 발생한 지 이틀 뒤인 7월 28일에야 사태를 파악하고 유출 사실을 공개적으로 인정했다. 회사는 네이트와 싸이월드 회원 약 3500만 명의 개인정보가 외부로 유출됐다고 밝혔다. 유출 규모가 사실상 당시 인터넷 이용 인구 전체에 육박하면서 파장은 걷잡을 수 없이 커졌다. 뒤늦은 인지와 공지로 대응이 늦었다는 비판도 함께 제기됐다. 이용자들은 주민등록번호까지 통째로 새어 나갔다는 사실에 분노했다.

수사 과정에서 이번 해킹이 중국에 서버를 둔 공격 경로를 통해 이뤄졌다는 정황이 드러났다. 방송통신위원회와 경찰은 악성코드 유포와 내부망 침투 경위를 조사했다. 유출 피해자들은 정신적 피해를 호소하며 전국적으로 대규모 집단 손해배상 소송에 나섰다. 소송에 참여한 이용자만 수만 명에 달할 정도로 사회적 반향이 컸다. 이 사건은 이후 주민등록번호 수집·보관 관행을 재검토하는 계기가 됐다.

손해배상 소송에서 하급심 재판부는 SK커뮤니케이션즈가 통상적인 보호조치를 이행했다고 보고 회사의 배상책임을 인정하지 않았다. 재판부는 당시 기술 수준에서 회사가 예견하기 어려운 고도화된 해킹이었다는 취지로 판단했다. 피해자들은 주민등록번호까지 유출됐는데도 책임을 묻지 못한다는 결론에 강하게 반발했다. 이 판단은 이후 대법원 심리로 이어졌다. 개인정보 유출 책임 소재를 둘러싼 법적 공방이 장기화됐다.

2018년 1월 대법원은 SK커뮤니케이션즈에 손해배상 책임이 없다고 최종 판결했다. 대법원은 회사가 당시 요구되던 보호조치를 대체로 준수했고, 해킹 수법이 방어하기 어려운 수준이었다고 봤다. 이로써 3500만 명 유출이라는 초대형 사고에도 피해자들은 배상을 받지 못하게 됐다. 이 판결은 개인정보 유출 사건에서 기업 책임 인정의 문턱이 높다는 점을 보여줬다. 동시에 사후 배상보다 사전 예방과 제도 정비가 중요하다는 교훈을 남겼다.