3일 서울 종로구 한 SK텔레콤 대리점 앞을 시민이 지나가고 있다. 뉴스1

과학기술정보통신부가 유심 해킹 사고가 발생한 SK텔레콤 가입자들에게 위약금 면제 규정 적용이 가능하다고 밝혔다. SKT가 이번 해킹 사고에 과실이 있는 것으로 판단한 것이다. 이로써 SKT 유심 해킹 사고 이후 타 통신사로 번호이동을 했거나 앞으로 이동하는 가입자들의 위약금 부담은 사라지게 될 전망이다.

과기정통부는 4일 SKT 유심 해킹 사고에 대한 민관합동조사단의 최종 조사 결과 발표에서 '회사의 귀책사유로 인해 해지할 경우 위약금 납부 의무가 면제된다'는 SKT 이용 약관상 위약금 면제 규정 적용이 가능하다고 밝혔다. 과기정통부는 SKT가 유심 정보 보호를 위한 주의 의무와 안전한 통신서비스 제공이라는 계약상 의무를 다하지 못했다고 봤다.

과기정통부는 합동조사단의 조사가 마무리되는 시점에 5개 기관의 조사 결과를 바탕으로 한 법률 자문을 진행한 결과 4개 기관이 이번 사고를 SK텔레콤의 과실로 판단했으며 유심 정보 유출이 계약상 주요 의무 위반에 해당한다고 결론냈다고 설명했다. 과기정통부는 위약금 면제에 대한 이번 판단이 SK텔레콤 약관과 해당 사고에 한정된 것이라고도 강조했다.

과기정통부의 '위약금 면제 가능' 해석으로 SKT 약정 기간 안에 KT나 LG유플러스, 알뜰폰 등으로 번호이동을 하는 경우 SKT에 지불해야 하는 위약금은 사라진다. 앞으로 이동하는 가입자는 물론 사고 이후 이미 타 통신사로 번호이동을 한 경우에도 위약금 면제가 적용될 것으로 보인다. SKT는 지난 5월 8일 국회 과학기술정보방송통신위원회 청문회에서 "1인당 해약 위약금을 평균 최소 10만 원으로 예상한다"고 밝힌 바 있다.

"로그 기록 있는 기간엔 CDR 유출 정황 없어"

서울 중구 을지로에 위치한 SK텔레콤 사옥. SK텔레콤 제공

합동조사단은 해킹 공격을 받은 총 28대 서버에 대한 포렌식 분석 결과 BPF도어 27종과 타이니쉘 3종, 웹쉘 1종, 오픈소스 악성코드 2종 등 총 악성코드 33종을 확인했다고 밝혔다. 유출된 정보는 전화번호와 가입자식별번호(IMSI) 등 25가지 유심정보이며 유출 규모는 9.82기가바이트(GB), IMSI 기준 약 2,696만 건이다.

조사단은 감염서버 중 단말기식별번호(IMEI), 이름, 생년월일, 전화번호, 이메일 등 개인정보가 암호화되지 않은 상태로 임시 저장된 서버 2대와 통화시간, 수·발신자 전화번호 등 통신기록(CDR)이 암호화되지 않은 상태로 임시 저장된 서버 1대를 발견했다고도 밝혔다. 조사단은 "정밀 분석 결과 IMEI는 지난해 12월 3일부터 올해 4월 24일까지, CDR은 지난해 12월 9일부터 올해 4월 20일까지 방화벽 로그 기록이 있는 기간에는 자료 유출 정황이 없는 것을 확인했다"고 밝혔다. 다만 악성코드가 감염된 시점부터 로그기록이 없는 기간, IMEI의 경우 2022년 6월 15일부터 지난해 12월 2일까지, CDR의 경우 2023년 1월 31일부터 지난해 12월 8일까지는 유출 여부를 확인하는 것이 불가능했다고 덧붙였다.

한편 SKT는 침해사고 신고 지연, 자료보전 명령 위반 등 정보통신망법상 의무도 위반한 것으로 드러났다. 과기정통부는 SKT에 계정 비밀번호 관리 강화, 주요 정보 암호화, 정보보호 거버넌스 강화, 정보보호 인력 및 예산 확대 등 재발방지 대책 이행을 요구했으며, 이행 여부를 점검할 계획이라고 밝혔다.

한국일보

김진욱 기자 ([email protected])