이재명 대통령 "피해자 손해 없어야"…과기정통부, SKT 해킹사건 최종 조사 결과 발표

정부가 SK텔레콤의 유심(USIM) 정보 유출 사고에 대해 “회사의 과실에 따른 귀책사유”라고 공식 판단하면서, 이용약관에 따라 번호이동 위약금 면제가 가능하다는 결론을 내렸다. 이번 사고로 인한 보상 여부를 둘러싼 논란이 본격적인 국면에 접어들 전망이다.

(사진=대통령실기자단)

■ 이재명 대통령 “피해자 손해 없어야”…정부, 가입자 보호 기조 분명히 해

이재명 대통령은 3일 대통령실 수석·보좌관 회의에서 “회사의 귀책 사유로 피해자들이 위약금 등 손해를 보는 일이 있어선 안 된다”며 가입자 보호 원칙을 강조했다. 이는 민관합동조사단의 최종 조사결과 발표를 앞두고 대통령이 직접 보상책 마련 필요성을 언급한 것으로, 사실상 정부의 입장을 미리 드러낸 것으로 풀이된다.

■ 과기정통부 “약관상 위약금 면제 가능”…SKT 과실 명확

4일 과학기술정보통신부는 민관합동조사단의 조사 결과를 발표하며, “SK텔레콤은 유심정보 보호를 위한 주의의무를 다하지 못했고, ‘안전한 통신서비스 제공’이라는 계약상 주된 의무를 위반했다”며 “회사의 귀책사유로 인한 계약 해지 시 위약금을 면제할 수 있다는 이용약관 제43조에 따라 이번 사건은 위약금 면제 대상이 될 수 있다”고 밝혔다.

조사단은 5개 법률 자문기관 중 4곳이 “SK텔레콤 과실이 인정된다”는 자문 결과를 회신했으며, 1곳은 판단을 유보했다. 과기정통부는 “이번 해석은 SKT의 약관과 이번 사고에만 한정된 것이며, 일반적인 사이버 사고 전반에 적용되는 해석은 아니다”고 선을 그었다.

■ 유심 정보 2,696만 건 유출…4년 전 침입, 내부 계정으로 침투

조사단에 따르면 유심정보 유출의 시작은 4년 전인 2021년으로 거슬러 올라간다. 해커는 SK텔레콤의 시스템 관리망 내 외부 접점이 있는 ‘서버A’에 접속, 이후 원격 제어와 백도어 기능이 있는 악성코드를 설치했다. 이 과정에서 관리망 내 계정 정보(ID·비밀번호 등)가 평문으로 저장돼 있었던 점이 심각한 허점으로 작용했다.

해커는 이후 고객관리망까지 침투했고, 2024년 4월18일에는 최종적으로 **유심 정보가 저장된 음성통화인증서버(HSS)**에서 데이터를 외부로 유출했다. 유출된 데이터는 총 약 2,696만 건, 용량 9.82GB에 달하며, IMSI, 전화번호, 단말기식별번호(IMEI) 등이 포함된 것으로 밝혀졌다.

■ 침해 대응 부실·신고 지연도 문제…정부 “수사의뢰·과태료 부과”

조사단은 SKT가 침해 사고를 인지한 후에도 24시간 내 신고하지 않았고, 주요 서버에 대한 증거자료 보전 명령을 따르지 않은 점도 문제로 지적했다. 포렌식 분석이 불가능한 상태로 서버 2대를 제출한 정황이 확인됐으며, 이에 대해 정보통신망법 위반으로 수사기관에 수사를 의뢰하고, 3천만원 이하의 과태료를 부과할 방침이다.

■ 가입자 59명, 소비자원에 집단분쟁조정 신청…보상논의 본격화

앞서 피해를 입은 SK텔레콤 가입자 59명은 지난 5월 한국소비자원에 집단분쟁조정을 신청했으며, 1인당 30만원의 배상과 위약금 면제를 요구한 상태다. 소비자원은 과기정통부의 판단 결과를 반영해 오는 9월 이후 분쟁조정 절차에 착수할 계획이다.

SK텔레콤은 이날 발표된 조사 결과를 검토한 뒤, 고객 보상 방안을 가급적 조속히 발표하겠다는 입장을 밝혔다.

■ 정부, 재발 방지책도 병행 발표

정부는 사고 재발 방지를 위한 후속 조치로 △계정 비밀번호 관리 강화 △개인정보 암호화 △정보보호 예산 확대 및 전문인력 확보 △보안 거버넌스 체계 개선 등을 포함한 정보보호 종합대책을 발표했다.