SKT 감염서버, 암호화 안된 개인정보 담겨… “총체적 보안 부실”

SKT 해킹사태 한달, 커지는 우려
3년간 악성코드 침투한 줄도 몰라… 해킹 안 뒤엔 가입자에 ‘늑장통보’
유심 재고 확보도 안해 ‘교체대란’… 정부도 피해 과소 예상, 신뢰 잃어
이재명 “SKT, 충분한 대응 조치해야”

20일 서울의 한 SK텔레콤 대리점에서 SK텔레콤 이용자들이 유심 교체 관련 상담을 받기 위해 줄을 서 있다. SK텔레콤 해킹 사태가 발생한 지 한 달이 지났지만 민감한 개인정보가 담긴 서버가 공격받은 정황이 추가로 확인되면서 국민 불안감이 커지고 있다. 뉴시스

SK텔레콤 해킹 사태가 발생한 지 한 달이 지났지만 기업과 정부의 부실한 대응이 이어지면서 이용자들의 불안감이 사그라들지 않고 있다. 조사가 거듭될수록 되레 우려가 커지는 형국이다. 단말기 고유식별번호(IMEI)와 민감 개인정보 유출 가능성이 추가로 발견되고, 해킹 사실을 3년간 인지하지 못한 것이 확인되면서 SK텔레콤의 총체적 보안 관리 부실이 도마에 올랐다. 민관합동조사단도 조사 결과를 번복해 정부에 대한 신뢰를 떨어뜨리고 있다.

● ‘3년간 침투 사실 몰랐다’… 허술한 해킹 대응 체계

조사단이 19일 발표한 2차 조사 결과에 따르면 SK텔레콤 서버에 악성코드가 최초 설치된 시점은 2022년 6월 15일로 추정된다. 악성코드가 탐지된 건 지난달 18일로 1039일이 지난 시점이다. 3년 가까이 잠복해 있었지만 이번 조사 전까지 감염 사실을 전혀 알아차리지 못했다는 비판에 대해 류정환 SK텔레콤 인프라네트워크 센터장은 “뼈아픈 지적”이라며 “보안 관리가 미흡했다는 것을 인정한다”고 했다.

크게보기

SK텔레콤의 사전 대응 체계도 미흡했다는 지적이 나온다. 2차 조사에서 추가로 확인된 감염 서버에는 총 29만1831건의 IMEI 정보를 포함해 이름과 생년월일, 전화번호, 이메일 등 민감정보가 암호화되지 않은 채 담겨 있었다. 국내 이동통신 3사 가운데 SK텔레콤만 유심 정보를 암호화하지 않고 있다.

최초 해킹 사실 신고 지연부터 ‘유심 대란’ 사태 초래까지 해킹 사태를 수습하는 과정 전반이 허점투성이였다는 비판도 나온다. SK텔레콤은 지난달 18일 이상 징후를 최초로 파악했으나 침해 사고 확인 24시간 이내 신고해야 한다는 규정을 어기고 뒤늦게 한국인터넷진흥원(KISA)에 신고했다.

SK텔레콤은 해킹 정황을 인지한 지 3주가 지난 뒤에야 유심 정보 유출 가능성을 문자 메시지(MMS)로 가입자에게 통보했다. 그간 직접 피해를 입은 대부분의 고객은 언론 보도와 홈페이지 공지로 진행 상황을 접할 수밖에 없었다. SK텔레콤은 해킹 사실을 공개한 뒤 유심을 교체해주겠다는 대책을 내놨지만 정작 현장에서는 유심 재고조차 확보돼 있지 않았다. 결국 재고 부족으로 고객들은 3시간 넘게 줄을 서는 등 혼란과 불편을 겪어야 했다.

● “유출 없다”→“유출돼도 복제폰 불가”

정부의 초동 조사도 허술했다. 1차 발표에서는 “IMEI가 유출되지 않았다”며 피해 우려가 적다는 취지로 발표했지만, 2차 발표에서는 “IMEI가 저장된 서버가 감염됐다”면서 “유출됐더라도 복제폰 제작은 어렵다”고 입장을 바꿨다. 감염 서버 수와 활용된 악성코드 수도 대폭 늘어나는 등 정부가 피해 규모를 과소 계상해 혼란을 키웠다는 비판도 나온다.

SK텔레콤이 해킹에 안일하게 대응하고 있다는 지적이 커지면서 최태원 회장 등 SK텔레콤 관계자에 대한 고발이 접수돼 경찰이 본격 수사에 나섰다. 고발인인 법무법인 대륜에 따르면 서울 남대문경찰서는 21일 유영상 SK텔레콤 대표이사의 업무상 배임 혐의 고발 사건에 대해 고발인 조사를 진행할 예정이다. 최 회장과 유 대표의 개인정보보호법 위반 혐의 고발 건에 대해서도 23일 고발인 조사를 진행하기로 했다.

더불어민주당 이재명 대선 후보는 20일 경기 의정부시 유세 중 기자들과 만나 “SK텔레콤의 보안 실패, 개인정보 보호 실패는 당연히 비판받아야 한다”며 “다시는 그런 대형 사고가 발생하지 않도록 충분한 대응 조치를 해야 한다”고 지적했다.

SK텔레콤은 최악의 상황에 대비해 비정상인증차단시스템(FDS)을 고도화하는 등 피해가 발생하지 않도록 지속적인 대응에 나선다는 방침이다.

과학기술정보통신부도 추가 피해 발생을 막기 위해 악성코드 추가 발견 직후 SK텔레콤에 IMEI와 개인정보 등이 모두 유출됐다는 최악의 상황을 가정하고 모든 대책을 강구하라고 지시했다.