유영상 SK텔레콤 대표가 지난 4일 서울 중구 SK텔레콤 본사에서 열린 기자회견에서 사이버 침해 사고에 대해 사과하고 있다. 성동훈 기자
‘1등 이동통신사’ SK텔레콤의 20년 아성이 흔들리고 있다. 유심 해킹 사고에 관한 민관합동조사단 최종 조사 결과 총체적 보안 부실이 드러난 데 이어, 요금 할인·위약금 면제 등 신뢰 회복 방안 역시 미흡하다는 비판이 계속되고 있어서다. 이번 해킹 사태가 SK텔레콤에 남긴 상처가 완전히 아물기까진 시간이 걸릴 것으로 보인다.
이통3사 중 보안은 ‘꼴찌’···대책은 방어적으로
지난 4일 과학기술정보통신부 민관합동조사단의 최종 조사 결과는 한마디로 ‘총체적 보안 부실’로 요약된다. 이번 유심 정보 유출 사고를 ‘사상 최악의 해킹 사태’로 키운 것은 결국 SK텔레콤의 부족한 정보 보호 인력과 예산, 미흡한 보안 대응 체계라는 평가가 나온다.
조사단에 따르면 SK텔레콤 전체 서버 4만2605대 가운데 28대가 악성코드에 감염됐으며 확인된 악성코드는 33종에 달했다. 전화번호와 가입자 식별번호(IMSI) 등 유심정보 25종이 유출됐다.
최초 감염 시점은 2021년 8월로 드러났다. 외부 침입 사실을 4년 가까이 알아차리지 못한 것이다. 내부 보안 점검 역시 일부 항목에 그쳤으며, 2022년 일부 서버의 악성 코드 감염을 발견하고도 당국에 신고하지 않은 사실도 새롭게 확인됐다. 정보보호 최고책임자의 보안 업무가 전체가 아닌 일부에 국한돼 있는 점도 드러났다.
SK텔레콤은 그간 ‘1등 이통사’임을 마케팅에 적극 활용하면서도 정작 보안에는 소극적이었다. 한국인터넷진흥원(KISA) 정보보호공시를 보면 SK텔레콤의 지난해 정보 보호 분야 투자 규모는 약 652억원으로 경쟁사 KT와 LG유플러스가 같은 기간 투자한 1250억원, 828억원보다 훨씬 적다. SK텔레콤의 정보 보호 인력 역시 가입자 100만명당 15명으로 KT(25.1명)보다 현저히 낮은 수준이었다.
조사 결과 발표 직후 SK텔레콤이 내놓은 5000억원 규모의 ‘고객 감사 패키지’에 대해서도 소비자 반응은 엇갈린다. 모든 가입자에게 8월 요금을 50% 할인해주고, 데이터 50GB를 추가 제공한다는 게 패키지 골자이지만, 약 30%에 달하는 무제한 요금제 가입자에겐 단발성인 요금 할인을 제외하면 이점이 크지 않다.
특히 번호 이동 고객에 대한 위약금 면제 방안을 두고 불만의 목소리가 나온다. 오는 14일까지로 제한된 위약금 면제 기간이 너무 짧은 데다 결합 상품에 대해선 위약금 면제가 적용되지 않아 실효성이 떨어진다는 것이다.
SK텔레콤이 가입자 유심 정보를 해킹당해 유심 무상 교체를 시작한 지난 4월 28일 서울 종로구의 한 SKT 매장에 관련 안내문이 붙어 있다. 한수빈 기자
‘1등 통신사’ 지위 위태···무너진 신뢰 회복 방법은
이번 사고로 SK텔레콤의 1등 지위는 위태로워졌다. 지난 4월 말 해킹 사태가 불거진 이후 60만명에 달하는 가입자가 이탈했다. 과기부 집계에서 SK텔레콤의 통신 시장 점유율은 지난 4월 기준 40.08%로 40%대를 겨우 지켰다. 5~6월 통계가 아직 반영되지 않은 데다 이번 위약금 면제 결정으로 탈출 러시가 이어질 것을 고려하면 40%대 사수는 어려울 것으로 보인다.
SK텔레콤은 정보 보호 관련 투자액을 향후 5년간 7000억원 규모로 끌어올리고, 전문 인력도 2배 이상 늘리기로 했다. 신뢰 회복을 위한 승부수를 던진 셈이지만, 매출 감소 등 타격은 불가피할 것으로 보인다. SK텔레콤은 이미 올해 매출액 전망을 17조8000억원에서 17조원으로 낮춘 상태다. 지난 5월에는 위약금 면제 시 3년간 손실이 최대 7조원에 달한다는 자체 예상도 나왔다. 투자자들 사이에선 매출 및 영업이익 하락에 따른 배당 수익 감소 등을 우려하는 목소리가 나온다. 유영상 SK텔레콤 대표는 지난 4일 기자회견에서 “장기적으로 고객 신뢰를 회복할 수 있는 회사가 되느냐가 훨씬 중요하다. 단기 실적 저하는 감내할 생각”이라고 말했다.
이번 사태가 단기적 손실에 그치지 않을 것이라는 관측도 나온다. SK텔레콤은 2028년까지 인공지능(AI) 분야에 3조4000억원을 쏟아부을 계획이었지만, 이번 사태로 ‘AI 드라이브’에도 제동이 걸리게 됐다.
박춘식 아주대 사이버보안학과 교수는 “소비자 피해 보상만큼 중요한 것이 보안 사고 재발 방지”라며 “‘소 잃고 외양간도 안 고쳐온’ 행태가 반복되지 않도록 내실있고 지속적인 투자, 외부 전문가 점검이 필요하다”고 말했다.