⁠⁠⁠⁠⁠⁠⁠

류제명 과학기술정보통신부 제2차관이 4일 서울 종로구 정부서울청사에서 SK텔레콤 침해사고 최종 조사결과 발표를 하고 있다. /사진=뉴시스

정부가 SK텔레콤 해킹 사고는 회사의 과실로 위약금 면제가 가능하다고 해석했다. 만약 SKT가 이를 따르지 않을 경우 전기통신법에 따라 시정명령을 내리고 최악의 경우 기간통신사업자 등록 취소까지 검토한다고 엄포를 놓았다. 이번 해킹 사고로 유출된 유심 정보 2696만건에 해당하는 가입자가 모두 위약금 면제 대상이란 설명이다.

다만 이번 해킹으로 유출된 유심 정보를 활용해 복제폰을 만드는 등의 피해는 발견되지 않은 것으로 나타났다.

류제명 과기정통부 2차관은 4일 정부서울청사에서 SKT 해킹 사고에 대한 민관합동조사단 최종 조사 결과 발표에서 "SKT 해킹 사고는 위약금을 면제해야 하는 회사의 귀책 사유"라며 "기본적으로 이용약관은 민법으로 사업자와 이용자가 해결해야 할 사안이지만, 이번 경우는 과기정통부가 이용약관을 신고수리 하는 주무 당국으로서 판단의 권한과 역할이 있다"고 말했다.

이에 따라 과기정통부는 SKT가 위약금 면제를 따르지 않을 경우 전기통신사업법 제92조제1항제2호 '전기통신사업자의 업무 처리 절차가 이용자의 이익을 해친다'고 판단해 시정명령을 내리고, 이를 정당한 사유 없이 이행하지 않으면 같은 법 제20조제1항에 따라 등록의 전부 또는 일부의 취소할 수 있다는 설명이다. SKT로서는 사업 취소 위기에 몰린 셈이다.

과기정통부는 SKT가 선량한 관리자의 주의의무도 다하지 않았다고 봤다.

SKT 이용약관 제22조엔 '사이버 침해 사고 시 선량한 관리자의 주의의무를 다했다면 회사가 책임을 지지 않는다'는 면책조항이 있다. SKT가 2022년 2월 악성코드 감염을 발견하고도 과기정통부에 신고하지 않아 해킹 피해를 키운 데다, 이번 해킹 사고도 늦장신고하고 일부 서버는 포렌식이 불가하도록 임의 조치해 문제가 크다는 지적이다.

휴대폰뿐 아니라 IPTV·인터넷 해지에 따른 위약금 면제도 가능할지에 대해서는 과기정통부도 즉답을 피했다. 류 차관은 "사업자와 이용자 간 계약이 개별적이고 특수하다"며 "정부가 일률적으로 판단할 수는 없고, SKT 위약금 면제를 수용한다면 구체적인 기준이나 절차를 제시할 것"이라고 말했다. 

━

CDR 유출돼도 피해 인지 어려워…KT·LGU+ 악성코드 발견 無 

━

SKT 해킹사태 민관합동조사단 최종 조사결과/그래픽=이지혜

과기정통부 민관합동조사단은 지난 4월23일부터 지난달 27일까지 SKT 서버 4만2605대를 6차례에 걸쳐 전수조사했다. 통상 사이버 침해 사고 발생 시 20인 이내로 민관합동조사단이 100여대의 서버를 점검하는 것과 달리, 이번엔 과기정통부 24명 한국인터넷진흥원 70명이 투입돼 강도 높은 조사를 진행했다. KT와 LG유플러스도 이에 준하는 실태점검을 진행했으나 피해사례는 나오지 않았다.

이에 유심 정보 25종이 유출됐으나 이로 인한 피해사례는 발견되지 않은 것으로 나타났다. 류 차관은 "유심 복제 실마리는 발견하지 못했다"며 "유심보호서비스와 FDS(비정상인증차단시스템) 고도화로 피해를 차단하고 있다고 판단한다"고 말했다.

다만 로그기록이 없어 지난 연말 이전 단말기식별번호(IMEI)와 통화기록(CDR) 유출 여부는 확인할 수 없었다. 이동근 KISA 디지털위협대응본부장은 "CDR은 누가 언제 누구와 통화했는지에 대한 기록으로, 이를 활용해 어떤 피해가 발생할지 명확하게 알 수 없다. 개인이 피해를 인지하고 신고하는 게 현실적으로 어렵다"고 말했다.

한편, 과기정통부 민관합동조사단 조사 결과 SKT 전체 서버 4만2605대를 조사한 결과 28대 서버에서 악성코드 33종이 발견됐다. 유출된 정보는 △전화번호 △가입자식별번호(IMSI) △인증키 2종 등 유심 정보 25종이다. SKT 해킹은 2021년 8월 6일 원격제어·백도어(뒷문) 기능이 포함된 악성코드 'CrossC2'가 설치되며 시작된 것으로 파악됐다.

윤지혜 기자 yoonjie@mt.co.kr

Copyright © 머니투데이 & mt.co.kr. 무단 전재 및 재배포, AI학습 이용 금지.