지난 4월, SK이노베이션E&S가 해킹을 당하고도 약 4년간 은폐한 사실이 드러났습니다. SK이노베이션E&S가 도시가스 시공사 관리 개발 서버를 통해 관리자 권한을 해킹을 당했는데, 4년 동안 신고하지 않은 걸로 드러나 정부가 조사에 착수한 사실이 언론에 보도된 것입니다.

SK이노베이션E&S의 정보보호최고책임자(CISO)였던 김우진(가명) 씨는 약 3개월간 해킹 대응 업무를 수행하다 간경화를 얻었고, 지난해 3월 투병 중 사망했지만 산재 인정을 받지 못했습니다.

그런데 SK이노베이션E&S가 낸 보험가입자 의견서에서 김우진 씨의 산재 심사 과정에서 아예 해킹이 없었다는 거짓말과 유족에게 주지도 않은 위로금을 줬다는 거짓말이 드러나며, SK이노베이션E&S가 근로복지공단에 "해킹이 없었다"는 허위 자료를 제출한 사실이 확인되었습니다.

법무법인 일로 정구승 대표변호사는 “위계로서 업무를 방해한 근로복지공단의 업무를 방해한 것에 해당하기 때문에 업무방해죄가 성립될 가능성이 매우 높다. 고의로 해킹이 없었다거나 아니면 이미 위로금이 지급되었다라고 한 것은 수사 단계에서 고의가 밝혀질 확률도 매우 높다고 보여진다”고 했습니다.

또한 정구승 대표변호사는 거짓 자료를 근로복지공단에 제출한 행위에 대해서는 “근로복지공단의 업무를 방해한 것뿐만 아니라 신청자의 권리를 침해하는 부분이 있기 때문에 적어도 이 부분에 대해서는 손해배상을 청구할 필요가 있다고 생각한다”고 답했습니다.

지난 4월, SK이노베이션E&S가 해킹을 당하고도 약 4년간 은폐한 사실이 드러났다. SK이노베이션E&S가 도시가스 시공사 관리 개발 서버를 통해 관리자 권한을 해킹을 당했는데, 4년 동안 신고하지 않은 걸로 드러나 정부가 조사에 착수한 사실이 언론에 보도된 것이다.

뉴스타파는 SK이노베이션E&S의 해킹 은폐와 깊숙이 연관된 한 사람의 죽음을 취재했다. SK이노베이션E&S의 정보보호최고책임자(CISO)였던 김우진(가명) 씨는 약 3개월간 해킹 대응 업무를 수행하다 간경화를 얻었고, 지난해 3월 투병 중 사망했다. 김우진 씨의 유족은 근로복지공단에 산재를 신청했지만, 김우진 씨의 죽음은 산재로 인정받지 못했다.

그런데 뉴스타파는 김우진 씨의 산재 심사 과정에서 SK이노베이션E&S가 근로복지공단에 "해킹이 없었다"는 허위 자료를 제출한 사실을 확인됐다. 아예 해킹이 없었다는 거짓말과 유족에게 주지도 않은 위로금을 줬다는 거짓말이 SK이노베이션E&S가 낸 보험가입자 의견서에 적혀있었다.

SK이노베이션E&S, 해킹 숨기다 해킹 대응 책임자 사망

2022년 10월 15일, SK C&C가 관리하는 판교 데이터센터에서 화재가 발생했다. 전국민의 카카오톡이 먹통이 됐던 사건이다. 국회 국정감사까지 열리자, 최태원 SK그룹 회장은 고개 숙여 사과했다.

이 화재로 SK E&S의 서버도 불탔다. SK E&S는 서버를 점검하다 사내망이 한 차례 해킹당했다는 사실을 뒤늦게 발견했다. SK E&S는 지난 2024년 SK이노베이션E&S으로 합병된 SK그룹 계열사다. 전국 8개 지역 도시가스 지주회사로, 400만 가구의 도시가스 공급을 책임지는 에너지 대기업이다.

해킹이 벌어진 시점은 2022년 9월 30일이었는데, SK E&S가 이를 인지한 시점은 11월 4일이었다. SK E&S의 정보보호최고책임자 김우진 씨는 해킹이 발생한 사실을 윗선에 보고했다.

●김우진(가명) : 부문장님. 네트워크 접속 장애를 유발했던 서버들에 대한 1차 침해조사 및 대응 결과 보고드립니다. 외부 침해 가능성은 지난 금요일(11월 4일) 야간까지 모두 차단했습니다. 총 2개 서버(계정관리 개발서버, 사내방송 동영상서버)에서 계정탈취의 혼적이 발견되어 네트워크 분리 및 채증 후 관련 해킹 프로그램들을 제거했습니다. 유출된 계정은 11개로 이는 사용자계정은 아니고, 시스템 운영자들 관련 계정들입니다.

○경영지원부문장 : 계정관리 개발서버 계정의 탈취 흔적이 있다고 했는데, 이로 인해 어떤 피해가 생길 수 있나요? 우리가 비번만 바꾸면 해결되는 건가요?(몰라서 여쭤봅니다)

(중략)

●김우진 : “외부 해킹이지만 유발 원인은 운영자들의 관리 소홀 영향도 있다고 보여집니다. 한 예로 특정 시스템 계정은 08년 이후 패스워드를 변경하지 않고 사용중인 것으로 파악되었습니다”

○경영지원부문장 : “네 잘 알겠습니다. 잘 챙겨보시기 바랍니다.”

김우진(가명) 정보보호최고책임자-경영지원 부문장 업무 대화(2022.11.6.)

해킹을 당했다는 사실은 추형욱 대표에게도 보고됐다. 다만, 최태원 회장에게도 보고됐는지 여부는 확인되지 않는다.

그러나 대외적으로는 숨겼다. 당시 정보통신망법은 해킹 사고 발생 사실을 인지하면 즉시 과기부 장관 또는 한국인터넷진흥원(KISA)에 신고하도록 하고 있었다. 미신고 시 과태료 대상이다. 신고가 접수되면 한국인터넷진흥원이 해킹 원인 분석과 침투 경로 조사, 현장 기술지원을 제공한다. 그런데 어찌된 일인지 SK E&S는 해킹 발생 사실을 신고하지 않은 것이다.

김우진 씨의 배우자 유 씨는 당시 남편이 했던 말을 기억한다. 유 씨는 "남편이 '덮을 걸. 우리 회사는 덮을 거야. 지금 그룹사 최태원 회장님이 지금 대국민 사과하고 있는데 이거를 어떻게 그룹사도 이거 문제가 생겼다는 얘기를 어떻게 하겠냐? 그래서 이거 다 덮을 거'라고 말했다"고 했다.

SK E&S가 해킹 사실을 덮기로 하면서 외부 지원은 받을 수 없게 됐다. 결국 정보보호최고책임자였던 김우진 씨는 외부 지원도 없이 해킹대응 작업 총괄이라는 과중한 업무를 떠안게 됐다.

해킹 대응이 한창이던 2022년 11월 8일, 김우진 씨와 배우자 유 씨 사이의 카카오톡 대화에도 해킹 대응으로 바쁘다는 내용이 담겨 있다.

○배우자 : 바빠?

●김우진 : 겁나 회의중

(중략)

●김우진 : 해킹 시도 비슷한 징조가 보여 대응중

○배우자 : 계속 시도하나보네. ...독일?

●김우진 : 영국이래. 사실은 미국이라 하고. 다들 경유지로 세탁해서

김우진-배우자 유 씨 카카오톡 대화(2022.11.8.)

김우진 씨-배우자 유 씨 카카오톡 대화 포렌식 자료(2022.11.8.)

해킹 대응이 끝났다고 보고한 지 한 달, 또다시 2차 해킹 시도가 발생했다. 더불어민주당 최민희 의원실에 따르면, 2022년 9월과 11월 두 차례의 해킹으로 인해 SK E&S 사내 계정정보 13GB, 서버 내 메일 등 2.29GB의 정보가 유출됐다.

김우진 씨의 해킹 대응 업무는 약 세 달간 밤낮없이 이어졌고, 이듬해 1월에야 종료됐다. 해킹을 처음 인지한 지 89일만이다. 

그런데 문제가 생겼다. 2차 해킹 대응이 한창이던 2022년 12월 말, 김우진 씨가 ‘식도정맥류 출혈’과 ‘간경화 진행 우려’가 있다는 진단을 받은 것이다.

배우자 유 씨는 김우진 씨가 검진 받은 뒤 의사 소견을 옆에서 들었다. 유 씨는 “의사가 “최근에 스트레스에 노출된 적이 있냐”고 물었다. 그때 남편이 “3개월간 잠을 못 잤다고 회사에 해킹이 들어와서 잠을 못 잤어요”라고 답했다. 그러니까 의사가 “그게 원인일 수 있다”고 했다. 이후 간경화 진단을 받았다. 유 씨는 비활동성이었던 B형간염이 활동성으로 바뀌었다”고 기억했다.

김우진 씨는 2년 간의 투병 끝에 지난해 3월 사망했다.

투병 중인 김우진 씨의 모습

사망 직원 산재 신청 과정에도 해킹 사실 숨긴 SK이노베이션E&S

한 직원의 죽음과 함께 영원히 묻히는 듯 했던 SK E&S의 해킹 사건. 그러나 김우진 씨가 숨진 뒤, 유족이 산재를 신청하면서 은폐됐던 해킹 사건이 수면 위로 떠올랐다.

지난 1월, 근로복지공단은 김우진 씨의 산재를 인정하지 않는다는 결정을 내렸다. 해킹 대응 과정에서 발생한 과로로 인해 김우진 씨가 병을 얻은 것으로 의심되는 상황인데 근로복지공단은 왜 이런 판단을 했을까.

취재진은 SK이노베이션E&S가 근로복지공단에 제출한 의견서를 입수했다. 근로복지공단은 산재 신청이 접수되면 회사로부터 보험가입자 의견서를 제출받고, 근로자 측 자료와 함께 검토해 산재 승인 여부를 결정한다.

그런데 ‘2022년 10월 화재사고 수습과 관련하여 해킹 사고가 있었냐’는 근로복지공단의 질의에 SK이노베이션E&S는 ‘해킹 사고 등 고인과 사업장에 피해가 될 수 있는 사건 발생 내역이 없다’고 허위 답변한 사실이 보험가입자 의견서에 담겨 있었다.

●근로복지공단 : 2022. 10. 15. 화재사고 수습과 관련하여 고인이 대응부족 또는 해킹사고 등 고인과 사업장에 피해가 될 수 있는 사건 발생 내역이 있습니까?

○SK이노베이션E&S : 고인의 대응부족 또는 해킹사고 등 고인과 사업장에 피해가 될 수 있는 사건 발생 내역이 없습니다.

SK이노베이션E&S가 근로복지공단에 제출한 보험가입자 의견서 중

SK이노베이션E&S가 근로복지공단에 제출한 보험가입자 의견서

또 “데이터 화재 사고자체의 수습 및 관리 책임은 SK AX(당시 SK C&C)에게 있었으므로 과중한 업무가 발생할 만한 사정도 없었다”고 돼 있다.

화재 사건과 관련한 해킹이 없었기 때문에 김우진 씨가 과중한 업무를 할 이유가 없었다는 교묘한 거짓말이다. 해킹을 은폐하기 위해 회사를 위해 헌신한 직원의 산재 사건을 암장한 셈이다.

근로복지공단이 김우진 씨의 죽음을 산재로 인정하지 않은 후 유 씨는 정보공개 청구를 통해 회사 측 보험가입자 의견서를 받아봤다. 회사 측의 답변을 뒤늦게 알게 된 유 씨는 큰 충격을 받았다고 한다.

이 사람이 3개월간 이렇게 정말 눈이 계속 충혈되고 이렇게 핏줄이 터지고 눈밑이 까맣게 변하고 계속 긴장하고 있고 이런 거를 옆에서 계속 지켜봤는데 회사에서 그 근로복지공단에 국가행정기관에 낸 기록에는 ‘해킹이 없음’인 거예요. (중략) 그럼 그동안 내가 본 건 뭐지? 그러니까 내 삶의 3개월에 이 사람의 업무 기록을 포함해서 내 기억을 통째로 삭제당하는 느낌. 이게 없었다고?

故 김우진 씨 배우자 유 씨 인터뷰

해킹 은폐 뿐만이 아니다. SK이노베이션E&S가 근로복지공단에 제출한 의견서에는 김우진 씨 유족이 받아간 적도 없는 3억5000여만 원을 지급했다고 적혀있다.

SK이노베이션E&S가 근로복지공단에 제출한 보험가입자 의견서. 유족에게 준 적 없는 '기타 위로금 2억8천여만 원, 자녀 학자금 6천7백여만 원'이 지급됐다는 내용이 담겼다.

뒤늦게 이 사실을 알게 된 김우진 씨의 아내가 항의하자, SK이노베이션E&S는 실수였다고 변명하고 있다.

정리하면, 2022년 9월과 11월 두 차례 해킹 침해 사고가 발생했지만 SK E&S는 정부에 해킹 사실을 신고하지 않았다. 해킹 대응을 총괄한 김우진 씨는 이 시기 간경화를 얻어 2년 뒤 사망했다. 이후 유가족이 산재를 신청하는 과정에도 SK E&S는 해킹이 없었다는 허위 자료를 제출했고, 결국 김 씨의 죽음은 산재로 인정받지 못했다.

SK이노베이션E&S 해킹 침해 사건과 김우진 정보보호최고책임자 산재 과정 타임라인

근로복지공단에 허위의 자료를 제출해 김우진 씨의 산재 판단을 방해한 행위와 이를 결정하고 실행한 SK이노베이션E&S 측 인사들은 ‘업무방해죄’로 처벌받을 소지가 있다.

정구승 변호사(법무법인 일로)는 “위계로서 업무를 방해한 근로복지공단의 업무를 방해한 것에 해당하기 때문에 업무방해죄가 성립될 가능성이 매우 높다. 고의로 해킹이 없었다거나 아니면 이미 위로금이 지급되었다라고 한 것은 수사 단계에서 고의가 밝혀질 확률도 매우 높다고 보여진다”고 했다.

또 거짓 자료를 근로복지공단에 제출한 행위에 대해서는 “근로복지공단의 업무를 방해한 것뿐만 아니라 신청자의 권리를 침해하는 부분이 있기 때문에 적어도 이 부분에 대해서는 손해배상을 청구할 필요가 있다고 생각한다”고 답했다.

SK이노베이션E&S 측은 “회사가 해킹 사실을 숨기려 했던 것이 아니라 당시 신고 의무 당사자였던 김우진 씨가 KISA에 신고하지 않은 것”이라고 사망한 김우진 씨에게 책임을 돌렸다.

김우진 씨에게 고강도 업무가 주어진 것 아니냐는 질의에는 “침해 사고 초기 외부 전문기관(SK쉴더스)이 투입돼 함께 수행했으며, 이후 보안 강화 및 시스템 운영 조치는 SK쉴더스와 SKC&C 등이 참여”했다며 “고인 개인에게만 의존해 (대응이) 진행된 것은 아니다”고 했다.

또 근로복지공단에 해킹 사실을 숨긴 이유에 대해서는 “‘화재사고로 인한 해킹 사고’가 없었다고 한 것이지 ‘해킹 자체’를 은폐할 의도는 없었다”며 “화재사고와 해킹 자체가 관련성이 없으며 고인의 대응 부족으로 피해가 될 만한 사건이 발생했냐는 질문으로 이해돼 발생 내역이 없다고 답변한 것”이라고 전해왔다.

취재 : 박종화, 전혁수

촬영 : 최형석, 신영철

편집 : 김은별

C.G. : 정동우

디자인 : 이도현

출판 : 임승은

출처: SK이노베이션E&S, 해킹 대응하다 직원 숨졌는데…“해킹 없었다” 거짓말