[SK이노베이션E&S] 해킹 사고 4년간 은폐, 대응 총괄 CISO 사망 후 산재도 은폐 정황

[SK이노베이션E&S] 해킹 사고 4년간 은폐, 대응 총괄 CISO 사망 후 산재도 은폐 정황_2026년 07월

경험한사람 2026. 7. 28. 23:31

SK이노베이션E&S(구 SK E&S)가 2022년 두 차례 발생한 해킹 침해사고를 4년간 정부에 신고하지 않고 은폐한 사실이 국회를 통해 드러났다. 해킹 대응을 총괄했던 정보보호최고책임자(CISO)는 약 3개월간 과중한 업무 끝에 간경화 진단을 받고 2년 뒤 사망했으며, 유족의 산재 신청 과정에서도 회사가 "해킹이 없었다"는 허위 자료를 근로복지공단에 제출한 정황이 뉴스타파 취재로 확인됐다.

□ 개요

2026년 04월 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당)이 제보를 받아 조사한 결과, SK이노베이션E&S(당시 SK E&S)가 2022년 발생한 해킹 침해사고를 4년 가까이 한국인터넷진흥원(KISA)에 신고하지 않고 은폐한 정황을 확인해 공개했다. 회사는 최 의원실 조사 이후에야 뒤늦게 자발적으로 신고했다.
침해사고는 2022년 9월 30일 발생했으며, SK E&S는 같은 해 11월 3일 사내 구성원의 네트워크 이상 제보를 받고 자체 보안점검을 실시해 다음날인 11월 4일 침해 사실을 인지했다. 침해 원인은 장기간 보안 업데이트가 이뤄지지 않은 노후 서버의 취약점을 해커가 공략한 것으로 파악됐다. 1차 침해 대응(해킹 흔적 점검, 구성원 비밀번호 변경, 서버 포맷·재설치, 잔존위협 탐지 솔루션 운영) 이후 한 달 뒤인 12월 2차 침해사고가 추가로 탐지됐으며, 1·2차 침투를 통해 사내 계정정보 약 13GB, 서버 내 메일 등 약 2.29GB의 정보가 유출된 것으로 확인됐다. 특히 해킹 대응 과정에서 해당 서버를 백업 없이 포맷·재설치해, 이후 원인 분석이 사측 자체 조사에 의존할 수밖에 없는 한계도 지적됐다.
당시 정보통신망법은 해킹 사고 인지 시 즉시 과기정통부 장관 또는 KISA에 신고하도록 규정했으나, SK E&S는 신고하지 않았다. 해킹 사실은 추형욱 대표에게도 보고됐으나, 최태원 SK그룹 회장에게까지 보고됐는지는 확인되지 않았다. 당시 정보보호최고책임자였던 김우진(가명) 씨의 배우자는 남편이 "그룹사가 화재로 대국민 사과 중인데 이 문제까지 알릴 수 없어 덮을 것"이라 말했다고 전했다.
외부 지원 없이 해킹 대응을 총괄하게 된 김우진 씨는 약 3개월간 밤낮없이 업무를 이어갔고, 2022년 12월 말 '식도정맥류 출혈'과 '간경화 진행 우려' 진단을 받았다. 담당 의사는 최근 스트레스 노출 여부를 물었고, 3개월간 해킹 대응으로 잠을 못 잤다는 답변에 이것이 원인일 수 있다고 소견을 밝혔다. 김씨는 2년간 투병 끝에 지난해(2025년) 3월 사망했다.
유족이 산재를 신청했으나 근로복지공단은 올해 1월 이를 인정하지 않았다. 뉴스타파 취재 결과, SK이노베이션E&S는 근로복지공단에 제출한 보험가입자 의견서에서 "해킹 사고 등 고인과 사업장에 피해가 될 수 있는 사건 발생 내역이 없다"고 허위 답변했으며, 유족이 받은 적 없는 위로금·학자금 약 3억5000여만원을 지급했다고 기재한 사실도 확인됐다.

□ 사고내용 요약

1. 회사명 : SK이노베이션E&S(舊 SK E&S, SK그룹 계열 도시가스 지주회사)
2. 사고유형
- 노후 서버 취약점을 악용한 외부 해킹 사고(1·2차)
- 해킹 사고 미신고·장기 은폐 사고(약 4년)
- 증거(서버) 백업 없이 포맷·재설치한 조사 방해 정황
- 해킹 대응 과중업무로 인한 담당자 사망 및 산재 은폐 의혹 사고
3. 유출규모 : 사내 계정정보 약 13GB(1차), 서버 내 메일 등 약 2.29GB(2차)
4. 유출항목
- 사내 계정정보(시스템 운영자 계정 11개 등)
- 서버 내 메일 등 사내 데이터

5. 특이사항
- 침해 발생(2022.9)부터 정부 신고(2026.3말)까지 약 4년간 미신고·은폐
- 은폐 배경으로 당시 SK C&C 판교 데이터센터 화재(카카오톡 먹통 사태)로 그룹 전체가 대국민 사과 중이던 시점이 지목됨
- 해킹 대응 서버를 백업 없이 포맷·재설치해 사후 조사·검증이 사측 자체 자료에만 의존할 수밖에 없는 상황 초래
- 해킹 대응을 총괄한 CISO가 3개월간 과중 업무 끝에 간경화 진단, 2년 투병 후 사망
- 유족의 산재 신청 과정에서 회사가 근로복지공단에 "해킹 없었다"는 허위 자료 제출 정황 확인
- 지급하지 않은 위로금·학자금(약 3억5000만원)을 지급했다고 허위 기재한 정황
- 법조계는 해당 행위에 대해 업무방해죄 및 손해배상 책임 성립 가능성을 제기
- 회사 측은 "신고 의무 당사자였던 고인이 신고하지 않은 것"이라며 사망한 CISO 개인에게 책임을 돌리는 입장 표명

□ 사고대응 타임라인

- 2022년 09월 30일
. 1차 해킹 침해사고 발생(노후 서버 취약점 악용)
- 2022년 10월 15일
. SK C&C 판교 데이터센터 화재 발생(카카오톡 등 장애), SK E&S 서버도 영향
- 2022년 11월 03일~04일
. 사내 네트워크 이상 제보 및 자체 점검, 침해사고 인지
. 대표이사에게 보고, 대외 미신고 결정(은폐)
- 2022년 12월
. 2차 침해사고 추가 탐지
. CISO 김우진 씨, '식도정맥류 출혈·간경화 진행 우려' 진단
- 2023년 01월
. 해킹 대응 업무 종료(인지 후 89일만)
- 2025년 03월
. 김우진 씨, 2년 투병 끝에 사망
- 2026년 01월
. 근로복지공단, 유족의 산재 신청 불승인 결정
- 2026년 02월
. 최민희 의원실, 해킹 은폐 정황 제보 접수 및 조사 착수
- 2026년 03월 말
. SK이노베이션E&S, 은폐 사실 인정 후 KISA에 뒤늦게 신고
- 2026년 04월 09일
. 최민희 의원, 해킹 은폐 정황 공식 발표
- 2026년 07월
. 뉴스타파, CISO 사망 및 산재 은폐 관련 심층 취재 보도

□ SK이노베이션E&S 측 공식 입장

"회사가 해킹 사실을 숨기려 했던 것이 아니라 당시 신고 의무 당사자였던 김우진 씨가 KISA에 신고하지 않은 것이다."

"침해 사고 초기 외부 전문기관(SK쉴더스)이 투입돼 함께 수행했으며, 이후 보안 강화 및 시스템 운영 조치는 SK쉴더스와 SKC&C 등이 참여했다. 고인 개인에게만 의존해 (대응이) 진행된 것은 아니다."

"'화재사고로 인한 해킹 사고'가 없었다고 한 것이지 '해킹 자체'를 은폐할 의도는 없었다. 화재사고와 해킹 자체가 관련성이 없으며 고인의 대응 부족으로 피해가 될 만한 사건이 발생했냐는 질문으로 이해돼 발생 내역이 없다고 답변한 것이다."

□ 대응내역

- (2022년 당시) 해킹 흔적 점검, 구성원 비밀번호 변경, 서버 포맷·재설치, 잔존위협 탐지 솔루션 운영
- (2026년) 국회 조사 이후 KISA에 뒤늦게 자진 신고
- 회사 측 공식 입장 표명(은폐 의도 부인)
※ 유족 대상 산재 관련 허위 자료 제출 논란에 대한 정정·사과 조치는 확인되지 않음

□ 재발방지대책(권고사항)

1. 기술적 조치
- 노후 서버·소프트웨어에 대한 정기 보안 업데이트 및 자산관리 체계화
- 침해사고 발생 시 증거 보존을 위한 포렌식 이미지 확보 후 시스템 초기화 절차 의무화(백업 없는 포맷 금지)
- 국가핵심기반시설 운영기업 대상 상시 침해 모니터링 체계 강화
- 외부 전문기관 조기 투입을 통한 독립적 침해 대응 체계 마련

2. 관리적 조치
- 정보통신망법상 침해사고 신고 의무의 실효적 이행 담보(신고 의무자 개인이 아닌 조직 차원 책임 명확화)
- 미신고·은폐에 대한 과기정통부 등 관계당국의 철저한 조사 및 제재
- 정보보호최고책임자(CISO)의 과중 업무 방지를 위한 인력 충원 및 외부 지원 체계 상시화
- 침해 대응 업무로 인한 직원 건강 이상 발생 시 신속한 산재 처리 및 지원 체계 마련
- 근로복지공단 등 행정기관 제출 자료의 진실성 담보를 위한 검증 절차 강화
- 국가핵심시설에 대한 정부·국회 차원의 투명성 확보 및 관리·감독 제도 정비

□ 관련기사(출처)

감사합니다.

저작자표시 동일조건 (새창열림)