SK이노베이션E&S 해킹 은폐 4년, 대응 책임자 죽음까지
SK이노베이션E&S가 2022년 해킹을 4년간 숨기는 사이 대응을 총괄한 정보보호책임자가 과로로 숨졌다. 산재 심사에선 회사가 "해킹 없었다"는 허위 자료를 냈다.
SK이노베이션E&S는 왜 해킹도, 죽음도 숨겼나?
SK이노베이션E&S가 2022년 발생한 해킹을 약 4년간 숨긴 사실이 2026년 4월 드러났다. 문제는 은폐만이 아니었다. 해킹 대응을 총괄하던 정보보호책임자가 과중한 업무 끝에 간경화로 숨졌는데, 회사는 유족의 산재 심사 과정에서 근로복지공단에 "해킹은 없었다"는 허위 자료를 제출했다. 한 기업의 보안 불감증이 한 노동자의 죽음과 그 죽음의 진실까지 가린 사건이다.
목차
4년간 묻혀 있던 해킹은 어떻게 시작됐나?
침해사고는 2022년 9월 30일 발생했다. SK이노베이션E&S는 그해 11월 사내 구성원의 네트워크 이상 제보를 받고 자체 점검에 들어가 침해 사실을 인지했지만, 신고는 하지 않았다. 도시가스 시공사 관리 서버를 통해 관리자 권한이 탈취됐고, 1·2차 침투로 사내 계정정보와 서버 내 메일 등 약 15GB 규모의 정보가 유출된 정황이 확인됐다. 노후 서버의 보안 업데이트가 방치된 사이 뚫린 것이다. 이 사실은 국회 최민희 의원실에 제보가 접수되고 과학기술정보통신부가 조사에 나서자, 회사가 2026년 3월 26일에야 뒤늦게 KISA에 신고하면서 공개됐다.
SK Innovation E&S concealed a 2022 hack for nearly four years, admitting it only after a National Assembly tip and a government probe forced its hand in early 2026.
해킹 대응 책임자의 죽음, 왜 산재가 아니었나?
뉴스타파 보도의 핵심은 이 은폐와 얽힌 한 사람의 죽음이다. 회사의 정보보호책임자였던 김우진 씨(가명)는 회사가 해킹을 숨기는 바람에 외부 지원도 받지 못한 채 약 3개월간 대응 업무를 홀로 떠안았다. 스트레스가 원인으로 의심되는 간경화 진단을 받았고, 2년여의 투병 끝에 지난해 3월 세상을 떠났다. 유족은 근로복지공단에 산재를 신청했지만 인정받지 못했다. 그런데 심사 과정에서 회사가 제출한 보험가입자 의견서에는 "해킹이 없었다"는 거짓말과, 실제로는 지급하지도 않은 위로금을 줬다는 거짓말이 함께 적혀 있었다.
The company's information security lead reportedly collapsed under the isolated workload of a hidden breach, yet SK told the compensation agency the hack never happened.
법은 이 은폐를 어떻게 막으려 했나?
현행 정보통신망법 제48조의3은 침해사고 발생을 안 때부터 24시간 이내 신고를 의무화하고, 이를 어기면 3천만원 이하 과태료를 부과한다. 다만 이 24시간 규정은 2024년 8월 14일부터 시행돼, 2022년 사건에 그대로 적용하기는 어렵다는 한계가 있다. 산재 쪽 기준도 뚜렷하다. 발병 전 12주 동안 주당 평균 60시간을 초과하면 업무 관련성이 강한 것으로 보고, 52시간을 넘으면 시간이 길수록 관련성이 커진다고 평가한다. 기초질환이 있어도 업무상 과로가 이를 자연 진행 속도 이상으로 악화시켰다면 산재로 인정될 수 있다. 문제는 회사가 낸 자료가 이 판단의 전제 자체를 뒤흔들었다는 데 있다.
Korea now mandates breach reporting within 24 hours under a rule effective August 2024, and overwork past 60 hours a week strengthens a workplace-illness claim — standards this case tested at both ends.
이 사건은 어디로 향하나?
해킹 대응 과정에서 서버가 백업 없이 포맷되거나 재설치돼 분석 대상이 사라졌다는 점은, 은폐 의도를 규명하는 데 결정적 걸림돌이 되고 있다. 과기정통부와 KISA의 조사, 국회 차원의 문제 제기가 이어지는 가운데 회사의 허위 자료 제출이 사실로 확정되면 산재 재심사와 별도의 법적 책임 논란으로 번질 수 있다. 대기업의 보안 관리 실패가 규제 위반을 넘어 노동자의 생명과 유족의 권리 문제로 확장된 이 사건은, 기업의 정보보호 책임과 재해 은폐 방지 제도를 다시 시험대에 올려놓았다.
With key servers wiped and no backups, proving intent is hard — but if the false filing is confirmed, the case could reopen the compensation review and widen into a broader corporate-accountability fight.
은폐의 비용은 결국 누구에게 청구되나?
이 사건을 관통하는 것은 하나의 일관된 논리다. 위험을 드러내는 비용보다 감추는 비용이 더 싸 보였다는 판단이다. 해킹을 신고했다면 규제 조사와 평판 손상을 감수해야 했을 것이다. 대신 회사는 침묵을 택했고, 그 침묵의 무게는 고스란히 대응 실무를 맡은 한 개인에게 전가됐다. 외부 전문 인력의 지원을 받으며 처리할 수 있었을 사고를, 은폐라는 전제 아래 홀로 감당해야 했던 상황 자체가 이미 과로의 구조적 원인이었다. 기술적 사고 대응의 실패가 아니라, 사고를 사고로 인정하지 않겠다는 경영 판단이 한 사람을 벼랑으로 내몬 셈이다.
더 무거운 대목은 죽음 이후의 태도다. 유족에게 위로금을 제안하다가 산재 신청 의사를 밝히자 태도가 달라졌다는 정황, 그리고 심사 서류에 "해킹이 없었다"고 적은 대목은 은폐가 일회성 실수가 아니라 반복되는 선택이었음을 보여준다. 산업재해 인정은 결국 '이 노동이 이 질병을 얼마나 악화시켰는가'라는 사실 판단에 달려 있다. 그 판단의 출발점인 근무 환경과 사고의 실재 여부를 회사가 왜곡하면, 제도가 아무리 정교해도 유족은 진실에 닿을 수 없다. 허위 자료 한 장이 산재 심사라는 공적 절차의 신뢰를 무너뜨릴 수 있다는 점에서, 이 사건은 개별 기업의 문제를 넘어선다.
남는 질문은 명확하다. 침해사고 신고 의무를 24시간으로 강화하고 과태료를 높인 제도가 실제로 은폐를 억제하려면, 신고 회피의 이득이 처벌보다 작아져야 한다. 동시에 산재 심사 과정에서 사업주가 제출하는 자료의 진위를 검증할 장치가 없다면, 제도는 다시 힘 있는 쪽의 서사에 휘둘린다. 은폐의 비용은 언제나 가장 약한 고리에게 먼저 청구된다는 사실을, 이 사건은 아프게 확인시켜 준다.
When hiding a breach looks cheaper than disclosing it, the bill lands on the individual holding the response, and a single false filing can undo the public trust that compensation systems depend on.