'국민 전체가 당한 해킹' 보안 부실·책임 회피 도마 위에
 |
| ▲최우혁 과학기술정보통신부 정보보호네트워크정책관이 19일 서울 종로구 정부서울청사에서 SKT 침해사고 관련 민관합동 조사결과 2차 발표 브리핑을 하고 있다/사진=연합뉴스 제공 |
[소셜밸류=최성호 기자] SK텔레콤의 전 가입자 유심(USIM) 정보와 단말기 고유식별번호(IMEI), 포함된 서버까지 해커에게 노출된 것으로 확인되면서, 이번 해킹 사건이 단순한 기업 보안 사고를 넘어 국가 통신 인프라 전체를 위협하는 사태로 비화되고 있다.
19일 민관 합동조사단은 정부서울청사에서 SKT 해킹 2차 조사 결과를 발표하고, 감염된 서버가 기존 5대에서 총 23대로 확대됐으며 이 중 2대는 실제 개인정보를 보유한 서버였다고 밝혔다. 이 서버에는 고객의 이름, 생년월일, 이메일, 전화번호 등 기본 인적사항뿐 아니라, 단말기 고유식별번호(IMEI)도 포함돼 있어 휴대전화 복제, 금융사기 등 2차 피해 우려가 커지고 있다.
이번 해킹의 심각성은 해커의 침입이 처음 시작된 시점이 무려 2022년 6월이었다는 점이다. 무려 3년 가까이 침투가 이어졌지만 SKT는 이를 전혀 감지하지 못했고, 로그 기록도 불과 4개월치만 보관하고 있어 그 이전 기간의 데이터 유출 여부는 확인조차 못하고 있다. 특히 유출된 데이터가 암호화되지 않았던 사실도 드러나 개인정보보호법 위반 논란이 거세지고 있다.
조사단에 따르면, 감염된 서버에 남아 있던 로그에는 약 29만 건의 IMEI 정보가 저장돼 있었고, 이를 통해 단말기 복제 및 불법 인증 등에 악용될 가능성이 제기되고 있다. 1차 조사에서 밝혀진 유심 정보만 2,695만 건에 달한다. 이는 SK텔레콤과 그 회선을 사용하는 알뜰폰 가입자를 모두 포함하는 수치로, 사실상 모든 가입자의 정보가 유출된 셈이다.
그럼에도 불구하고 SKT 측은 “아직 위약금 면제나 보상 문제를 논의할 단계는 아니다”라는 입장을 내놓고 있으며, 정부 역시 “개인정보보호위원회 조사를 지켜봐야 한다”며 신중론을 펴고 있다.
이번 해킹에서 사용된 악성코드는 총 25종으로, 웹셸 방식과 함께 중국계 해커 조직이 주로 사용하는 수법이 발견된 것으로 전해졌다. 해킹 방식과 기간, 감염 서버 수 등을 감안할 때, 이번 사태는 통신사 내부 시스템 전체가 장기간 뚫렸던 사이버 안보 사각지대였다는 점에서 국가 차원의 대응이 필요하다는 지적이 나온다.
특히 SK텔레콤은 ‘보안이 강점’이라는 브랜드 이미지를 내세워온 대표적 ICT 기업이다. 그러나 이번 사건은 ‘국민의 신뢰’를 기반으로 한 기업 이미지가 허울에 불과했음을 적나라하게 드러냈다.
통신서비스는 단순 민간서비스가 아닌 국민 생활기반 인프라다. SK텔레콤은 스스로의 시스템을 지키지 못한 책임은 물론, 가입자의 데이터를 무방비로 노출시킨 책임에서 결코 자유로울 수 없다.
정부와 관계기관은 지금이라도 위약금 면제, 유출 피해에 대한 명확한 보상, 법적 제재, 제도 개선 등 실질적 대책을 조속히 마련해야 할 것이다. 이번 사태는 “기술보다 신뢰가 중요한 시대”임을 국민 모두에게 각인시킨 사건이 됐다.
[ⓒ 사회가치 공유 언론-소셜밸류. 무단전재-재배포 금지]
