[딜사이트 변한석 기자] KT의 해킹 사고 대응 과정에서 제기된 서버 로그 삭제 의혹을 계기로 개인정보 유출 관련 증거인멸 행위에 대한 처벌을 강화해야 한다는 목소리가 나왔다. 현행법상 개인정보보호위원회 조사 착수 전 증거를 은닉할 경우 제재 근거가 부족하다는 지적에 따라 고의적인 증거인멸에 형사 처벌을 적용하는 법 개정 필요성이 제기됐다.

13일 서울 여의도 국회의사당에서 열린 개인정보보호위원회 대상 국정감사에서 김용만 더불어민주당 의원은 이상운 KT 최고정보보호책임자(CISO)를 상대로 2024년 3월 발생한 해킹 사고와 이후 대응 과정을 질의했다.

지난 2024년 3월 악성코드 BPF도어로 인해 KT 서버 38개가 해킹되는 사고가 발생한 것에 대해 이 CISO는 “사고가 발생한 것이 맞다”며 “당시 사고로 개인정보가 유출된 인원이 23명”이라고 밝혔다.

김 의원은 KT가 2025년 4월 SK텔레콤 해킹 사고 이후 진행된 서버 전수 조사 과정에서 침해 발생 서버 일부의 로그를 삭제한 사실을 지적했다. 특히 당시 KT 개인정보보호책임자(CPO)가 감염 서버 38대의 로그를 모두 삭제하도록 지시한 정황을 언급하며 조직적인 은폐 가능성을 제기했다.

이 CISO는 “수사 중인 사안이라 답변하기 어렵다”고 말했다.

김 의원에 따르면 KT는 당초 감염 서버에 대한 보존 자료가 없다고 설명했으나 이후 별도로 보관된 자료를 제출했다. 따라서 로그 삭제가 단순 실수로 보기 어렵다고 지적했다. 이 CISO는 "상당 부분 대응 과정에서 실제 미흡한 부분이 있던 건 사실"이라고 인정했다.

이후 김 의원은 “쿠팡·KT·LG유플러스 등 유출 사고를 은닉한 사실 있다”며 “현행법 상 유출을 인지하고 72시간 안에 신고를 해야 한다”고 설명했다.

따라서 해킹 사고 관련 증거를 고의로 은닉하거나 폐기한 기업에 대한 처벌을 강화해야 한다는 주장이 나왔다. 김 의원은 개인정보 유출 사실을 숨기기 위한 증거인멸은 고의성이 있는 행위라며 관련 형사처벌 규정을 마련하는 법 개정의 필요성을 강조했다.

송경희 개인정보보호위원회 위원장은 “조사 착수 이전에 증거를 은닉하거나 폐기한 경우 이를 규제할 근거가 부족하다”며 “의도적인 증거인멸이 확인된 기업에 강력한 처벌이 필요하다”고 밝혔다.

한편 지난 12일 열린 방송미디어통신위원회 대상 국정감사에서도 KT의 해킹 은폐 의혹이 제기됐다. 조경태 국민의힘 의원은 KT가 해킹 사실을 알고도 은폐했다고 주장하며 정부의 제재를 요구했다.

조 의원은 "KT가 해킹 사실을 은폐한 채 고객 유치했다면 정부의 강력 조치가 필요하다"며 “최대 3개월간 신규 고객 모집 금지까지 검토해야 한다”고 주장했다.