SK텔레콤(SKT)이 2021년부터 해커 공격을 받았고 2022년에는 자체 조사에서 침해 사실을 발견했지만 제대로 조치하지 않으면서 사태를 키운 것으로 4일 드러났다. 정부는 복제폰으로 인한 2차 피해 우려는 하지 않아도 된다고 발표했으나, SKT가 공급망 보안을 충실하게 관리하지 못했고 자료 보전도 제대로 하지 않은 점 등을 지적하면서 재발 방지 대책을 강력히 요구했다. 정부는 특히 악성코드 감염과 사고 대처 과정 전반에서 SKT의 과실이 발견돼 ‘위약금 면제 규정’ 역시 적용 가능하다는 결론 내렸다.
SKT는 향후 5년간 총 7000억원을 정보보호에 투자하고, 해킹 사고 이후 오는 14일까지 해지 또는 해지 예정인 가입자에 대해 위약금을 면제하기로 했다. 또 다음 달 통신요금을 50% 할인하겠다고 발표했다. 유영상 SKT 대표는 “조사 결과를 엄중하게 받아들이며 사이버 침해 사고에 대해 다시 한 번 고객과 사회에 진심으로 사과드린다”며 “통렬하게 반성, 참회하는 심정”이라고 말했다.
과학기술정보통신부를 주축으로 하는 민관합동조사단은 정부서울청사에서 SKT 해킹 사고 최종 조사 결과를 발표했다. 조사단은 SKT 서버 4만2605대를 모두 점검한 결과 해커의 최초 공격이 2021년 8월 6일 이뤄졌음을 확인했다. 중간 조사 결과에서 발표한 2022년 6월보다 10개월정도 이른 시점이다. 유출된 정보 종류는 전화번호와 가입자 식별번호(IMSI) 등 유심정보 25종으로, 총 9.82GB 분량이다.
조사단은 SKT가 정보보호 체계를 제대로 관리하지 않아 사태를 키웠다고 지적했다. 로그인 ID와 비밀번호 등 계정정보를 부실하게 관리해왔고, 유심 복제에 활용될 수 있는 유심인증키 값을 암호화하지 않는 등 문제점이 드러난 것이다. 특히 조사단은 SKT가 2022년 2월에도 서버가 악성코드에 감염되는 사고를 겪었지만 당시 신고 의무를 제대로 이행하지 않는 등 미흡하게 대응해 이번 사고를 막을 수 있는 기회를 놓쳤다고 지적했다.
아울러 조사단은 SKT가 이번 침해사고 대응과정에서 사고 인지 후 24시간 이내 신고를 하지 않고, 침해사고 원인 분석을 위한 자료보전 명령을 제대로 이행하지 않는 등 정보통신망법 준수 의무도 위반했다고 밝혔다.
조사단은 해킹 사고 전 과정에서 SKT의 과실이 인정되기에 이용약관에 따른 ‘위약금 면제’ 사유에도 해당된다고 봤다. 정부가 통신사 과실로 인한 해지에 약관상 면제 조항을 적용한 것은 이번이 첫 사례다. SKT가 일반적으로 기대되는 사업자의 주의 의무를 다하지 못했을 뿐만 아니라 관련 법령이 정한 기준을 준수하지 않았다는 것이다. 과기부도 SKT가 정보통신망법상 통신사업자의 주된 의무인 ‘안전한 통신서비스 제공 의무’를 다하지 못했기에 이번 사고에 귀책사유가 있다고 해석했다.
박선영 기자 pomme@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
