SK이노베이션E&S 해킹 은폐, 대응 책임자는 왜 숨졌나

에너지 대기업은 왜 4년간 해킹을 숨겼나?

400만 가구에 도시가스를 공급하는 SK이노베이션E&S가 2022년 두 차례 해킹을 당하고도 약 4년간 정부에 신고하지 않은 정황이 드러났다. 더 무거운 사실은 그 뒤에 있다. 해킹 대응을 총괄하던 정보보호최고책임자(CISO)는 세 달간의 밤샘 끝에 간경화를 얻어 지난해 3월 숨졌고, 회사는 유족의 산재 심사에 "해킹은 없었다"는 허위 자료를 제출했다. 은폐가 한 사람의 죽음까지 삼킨 사건이다.

sk-ens-hacking-coverup-ciso-death-infographic

사건은 어떻게 시작됐나?

발단은 2022년 10월 15일 판교 SK C&C 데이터센터 화재였다. 전 국민의 카카오톡이 먹통이 됐던 그 사고다. SK E&S 서버도 이때 함께 불탔고, 회사는 서버를 점검하는 과정에서 사내망이 이미 해킹당했다는 사실을 뒤늦게 발견했다. 침투 시점은 화재 보름 전인 9월 30일, 회사가 이를 인지한 것은 11월 4일이었다. 계정관리 개발서버가 뚫려 관리자 권한이 탈취됐고, 시스템 운영자 계정 11개가 유출됐다. SK E&S는 전국 8개 지역 도시가스 지주회사로 400만 가구의 공급을 책임지는 에너지 대기업이다.

SK E&S discovered a September 2022 breach only while inspecting servers damaged in the Pangyo data center fire, the same blaze that took down KakaoTalk nationwide.

회사는 왜 신고하지 않기로 했을까?

당시 정보통신망법은 해킹 사고를 인지하면 즉시 과학기술정보통신부 장관 또는 한국인터넷진흥원(KISA)에 신고하도록 규정했고, 미신고 시 과태료 대상이었다. 신고가 접수되면 KISA가 원인 분석과 침투 경로 조사, 현장 기술지원을 제공한다. 그러나 SK E&S는 신고하지 않았다. 숨진 CISO 김우진(가명) 씨가 생전 배우자에게 남긴 말이 정황을 드러낸다. "덮을 걸. 우리 회사는 덮을 거야. 그룹 최태원 회장이 지금 대국민 사과를 하고 있는데, 그룹사도 문제가 생겼다는 얘기를 어떻게 하겠냐." 신고를 포기하면서 외부 지원 경로도 함께 끊겼고, 대응 부담은 고스란히 한 사람에게 몰렸다.

Reporting the breach would have handed the case to KISA for support—but the company chose silence, leaving one officer to shoulder the entire response alone.

은폐가 남긴 숫자들은 무엇인가?

두 차례 침투로 유출된 정보는 상당했다. 더불어민주당 최민희 의원실에 따르면 2022년 9월과 11월 해킹으로 사내 계정정보 13GB, 서버 내 메일 등 2.29GB가 빠져나갔다. 김 씨의 해킹 대응 업무는 약 세 달간 밤낮없이 이어져 이듬해 1월에야 끝났다. 해킹 인지 89일 만이다. 그 사이 2022년 12월 말 그는 식도정맥류 출혈과 간경화 진행 우려 진단을 받았다. 비활동성이던 B형간염이 활동성으로 바뀌었다. 국회 제보로 사건이 드러나자 SK E&S는 사고 발생 약 40개월 만인 지난 3월 26일에야 KISA에 뒤늦게 신고했으나, 조사에 필요한 서버들이 이미 폐기돼 규명이 난항을 겪고 있다.

Two breaches leaked roughly 15GB of data, and the officer who spent 89 days containing them was diagnosed with cirrhosis before the company finally reported to KISA some 40 months late.

법적 책임은 어디로 향하나?

핵심은 산재 심사 과정의 허위 진술이다. "해킹 사고 등 피해가 될 수 있는 사건 발생 내역이 있느냐"는 근로복지공단의 질의에 회사는 "없다"고 답했고, 유족에게 지급한 적 없는 위로금 3억5000여만 원을 지급했다고도 적었다. 결국 김 씨의 죽음은 산재로 인정받지 못했다. 정구승 변호사(법무법인 일로)는 "위계로 공단 업무를 방해한 것에 해당해 업무방해죄가 성립될 가능성이 매우 높고, 신청자의 권리를 침해한 만큼 손해배상 청구도 필요하다"고 밝혔다. 회사 측은 "해킹 자체를 은폐할 의도는 없었고, 화재와 관련한 해킹이 없었다는 취지였다"며 신고 의무는 숨진 김 씨에게 있었다고 해명했다.

The company told the labor welfare service there was "no hacking" and claimed to have paid condolence money it never gave, moves a lawyer says likely amount to obstruction of official duties.

은폐의 비용은 결국 누구에게 청구되나?

이 사건을 관통하는 것은 하나의 일관된 논리다. 위험을 드러내는 비용보다 감추는 비용이 더 싸 보였다는 판단이다. 해킹을 신고했다면 규제 조사와 평판 손상을 감수해야 했을 것이다. 대신 회사는 침묵을 택했고, 그 침묵의 무게는 고스란히 대응 실무를 맡은 한 개인에게 전가됐다. 외부 전문 인력의 지원을 받으며 처리할 수 있었을 사고를, 은폐라는 전제 아래 홀로 감당해야 했던 상황 자체가 이미 과로의 구조적 원인이었다. 기술적 사고 대응의 실패가 아니라, 사고를 사고로 인정하지 않겠다는 경영 판단이 한 사람을 벼랑으로 내몬 셈이다.

더 무거운 대목은 죽음 이후의 태도다. 유족에게 위로금을 제안하다가 산재 신청 의사를 밝히자 태도가 달라졌다는 정황, 그리고 심사 서류에 "해킹이 없었다"고 적은 대목은 은폐가 일회성 실수가 아니라 반복되는 선택이었음을 보여준다. 산업재해 인정은 결국 '이 노동이 이 질병을 얼마나 악화시켰는가'라는 사실 판단에 달려 있다. 그 판단의 출발점인 근무 환경과 사고의 실재 여부를 회사가 왜곡하면, 제도가 아무리 정교해도 유족은 진실에 닿을 수 없다. 허위 자료 한 장이 산재 심사라는 공적 절차의 신뢰를 무너뜨릴 수 있다는 점에서, 이 사건은 개별 기업의 문제를 넘어선다.

남는 질문은 명확하다. 침해사고 신고 의무를 24시간으로 강화하고 과태료를 높인 제도가 실제로 은폐를 억제하려면, 신고 회피의 이득이 처벌보다 작아져야 한다. 동시에 산재 심사 과정에서 사업주가 제출하는 자료의 진위를 검증할 장치가 없다면, 제도는 다시 힘 있는 쪽의 서사에 휘둘린다. 은폐의 비용은 언제나 가장 약한 고리에게 먼저 청구된다는 사실을, 이 사건은 아프게 확인시켜 준다.

When hiding a breach looks cheaper than disclosing it, the bill lands on the individual holding the response, and a single false filing can undo the public trust that compensation systems depend on.

자주 묻는 질문

Q. SK이노베이션E&S는 어떤 회사인가요?

2024년 SK E&S가 SK이노베이션에 합병되며 출범한 SK그룹 계열사로, 전국 8개 지역 도시가스 지주회사입니다. 약 400만 가구에 도시가스를 공급하는 에너지 대기업입니다.

Q. 해킹은 언제 어떻게 발생했나요?

2022년 9월 30일 노후 서버의 취약점을 통해 1차 침투가 일어났고 11월에 2차 시도가 이어졌습니다. 회사는 판교 데이터센터 화재 뒤 서버를 점검하다 11월 4일에야 침해 사실을 인지했습니다.

Q. 왜 산재로 인정받지 못했나요?

근로복지공단은 회사가 제출한 보험가입자 의견서를 근거자료의 하나로 검토합니다. 회사가 "해킹 사고가 없었다"며 과중한 업무 정황을 부인하는 자료를 냈고, 이것이 산재 불승인 결정에 영향을 미친 것으로 보입니다.

Q. 회사는 어떤 처벌을 받을 수 있나요?

근로복지공단에 허위 자료를 제출해 산재 판단을 방해했다면 업무방해죄가 성립할 수 있다는 것이 법조계 지적입니다. 정보통신망법상 미신고에 대한 과태료도 별도로 문제 될 수 있습니다.