민관합동조사단이 에스케이(SK)텔레콤 유심 정보 유출 사고의 최종 조사 결과를 발표한 4일 서울 시내 한 에스케이텔레콤 대리점. 연합뉴스
에스케이(SK)텔레콤이 지난 4월 유심 정보 유출 사고 분석을 위한 정부의 ‘자료보전 명령’을 위반한 것과 관련해 “고의는 아니지만 명백히 잘못한 것”이라고 인정했다.
유영상 에스케이텔레콤 대표는 이날 서울 중구 을지로 티(T)타워에서 연 기자회견에서 회사가 지난 4월21일 과학기술정보통신부의 자료보전 명령을 위반한 경위에 대해 “(과기정통부 명령이) 담당 부서에는 전달이 안 된 상태에서 서버를 긴급 복구하면서 초기화를 하는 실수를 범했다”고 말했다.
앞서 민관합동조사단은 이날 에스케이텔레콤이 사고 원인 분석을 위해 과기정통부의 자료보전 명령(4월21일)에도 불구하고 같은 날 서버 2대를 포렌식 분석이 불가능한 상태로 임의 조처해 제출했다며 수사기관에 수사를 의뢰할 예정이라고 밝혔다. 유 대표는 “고의적인 삭제 의도가 있었던 건 아니다. 담당자는 자료보전 명령 사실을 알지 못한 채 (악성코드 감염에 따른) 피해 확산 방지를 위해서 더블을 초기화한 것으로 확인됐다”며 “그럼에도 불구하고 명백히 저희가 잘못한 부분”이라고 해명했다.
지난 5월 민관합동조사단의 중간 조사 발표 직후 에스케이텔레콤이 ‘통화상세기록(CDR)을 암호화해 보관하고 있다’고 밝혔으나 최종 조사 결과에서 통화상세기록이 암호화 없이 평문으로 임시 저장된 서버(1대)가 발견된 것에 대해선 석연치 않은 답변을 내놨다. 류정환 에스케이텔레콤 네트워크인프라센터장은 “그 당시에 통화상세기록 데이터는 마스킹(가림) 처리 등을 통해 1차 보호가 되고 있었는데, 대중들의 이해를 돕기 위해서 ‘암호화’라는 표현을 썼다”며 “대부분의 데이터는 마스킹 처리가 돼 있지만 그 중 한 개가 평문으로 저장돼 있어 오늘 조사단 발표 내용에 포함된 것이다. 앞으로 통화상세기록까지 보안 수준을 높이겠다”고 답변했다.
아울러 에스케이텔레콤은 지난 2022년 2월 특정 서버의 비정상 재부팅이 발생해 점검하는 과정에서 악성코드 감염을 확인했으나 이를 한국인터넷진흥원(KISA)에 신고 의무를 이행하지 않아 사태를 키웠다는 지적에 대해 “그때 담당자가 법적 신고 대상인지 여부를 미처 생각하지 못한 것 같다. 굉장히 송구스러운 부분”(유영상 대표)이라고 했다.