⁠⁠⁠⁠⁠⁠⁠

SK텔레콤 해킹사태 조사 결과 발표하는 류제명 차관 (서울=연합뉴스) 류영석 기자 = 류제명 과학기술정보통신부 2차관이 4일 정부서울청사에서 SK텔레콤 해킹 사태 관련 최종 조사결과를 발표하고 있다. 2025.7.4 ondol@yna.co.kr

(서울=연합뉴스) 김현수 기자 = 류제명 과학기술정보통신부 2차관은 4일 "SKT 단말기식별번호가 유출됐다 해도 복제폰 걱정은 하지 않아도 된다"고 말했다.

류 차관은 이날 정부서울청사에서 SKT 해킹 사태 관련 최종 조사 결과 이후 질의응답에서 이같이 말했다.

민관 합동 조사단의 최종 조사에서 해커의 공격이 2021년부터 이뤄졌으며, SKT가 2022년 자체 조사로 침해 사실을 발견하고도 제대로 조치하지 않으면서 사태를 키운 사실이 드러났다.

다음은 류 차관, 이동근 한국인터넷진흥원(KISA) 디지털위협대응본부장, 최우혁 과기정통부 정보보호네트워크정책관의 일문일답.

-- 추가 악성코드가 발견됐는데 유심 해킹 피해로 이어질 수 있는 실마리가 있나.

▲ (류제명) 유심 복제로 인한 피해 실마리는 발견하지 못했다. 사업자가 유심보호 서비스와 부정사용 방지 시스템 고도화하며 그런 피해 우려는 차단하고 있다고 판단한다. 추가적인 조사에서도 피해 가능성은 발견하지 못했다.

-- SKT 귀책 사유라는 판단을 받기까지 두 달 이상 소요됐는데, 그 사이 해지한 가입자들도 많다. 소급 적용을 통한 위약금 면제도 가능한가.

▲ (류제명) 4월 18일에 유출된 2천695만건, 그 시점의 고객들은 모두 해당한다고 본다. 유출로 인해 번호를 이동한 가입자들은 당연히 위약금에 대한 환불 조치가 이뤄져야 한다. 나머지 고객들에 대해서는 SKT가 구체적인 범위를 정해 제시하지 않을까 기대한다.

-- 고객 관리망에 뭐가 있었고, 뭐가 어떻게 유출이 됐는지 궁금하다.

▲ (이동근) 2차 발표 때도 말씀드린 부분이다. 고객 관련된 정보가 평문으로 저장돼 있던 서버다. 거기서 해커가 악성코드를 감염시킨 게 확인됐으나, 당시 로그만 기준으로 보면 유출 정황이 확인되지 않았다. 감염은 됐지만 실질적으로 정보가 유출된 것은 확인이 안 됐다.

-- 다른 통신사와 플랫폼에 대한 점검은 결과가 나왔나.

▲ (최우혁) 나머지 2개 통신사에 대해서는 SKT에 준하는 조사를 통해서 지금까지 문제가 없는 것으로 확인했다. 플랫폼사는 4곳을 진행했는데 아직 진행 중이라 다음에 기회에 묶어서 발표하겠다.

-- 단말기 식별번호(IMEI)와 가입자 식별번호(IMSI)가 결합해 유출됐을 때 위험하다고 판단되면서 불안감이 커진 바 있다. 로그기록이 없는 기간에 대한 불안감 해소는 국민들이 어떻게 받아들여야 하나.

▲ (류제명) IMEI가 유출된 흔적은 로그 기간 중에는 없었다는 점을 말씀드렸다. IMEI가 유출됐다 하더라도 제조사가 갖고 있는 인증값을 동시에 탈취하지 않으면 단말기 복제는 불가능하다는 것이 제조사들의 공통된 의견이었다. 사업자들이 복제 유심과 복제폰을 통한 네트워크 접속을 차단하기 위해 노력하고 있고, 고도화 작업을 하고 있어서 국민들께서 복제폰으로 인한 걱정은 안 하셔도 되지 않을까 싶다.

-- 조사단 인력이나 규모는 어느 정도였는지 설명해달라.

▲ (최우혁) 과거에는 조사단의 규모가 통상적으로 10여명 정도였다면, 이번에는 조사단 규모만 23명이었다. SKT 서버 대수가 4만여대에 달해서 직접 점검 과정에는 KISA 인력이 70여명이 투입됐다. BPF도어의 특성 등을 고려해 전수조사하면서 서버 약 4만여대를 점검했다.

-- 이동통신 휴대폰 유심 가입자 외에 인터넷이나 TV 결합 할인을 받는 고객들도 많다. 이들이 번호를 이동한다면 약정 기간이나 위약금 규모도 다 다를 텐데, SKT가 고객 조건에 따라 차등 적용을 한다면 그것은 약관에 위반된다고 판단하나.

▲ (류제명) 사업자의 계약은 각각 특수하다. 위약금에 따른 여러 사항이 있어서 개별적 환경이나 조건을 정부가 일률적으로 판단해서 정리할 순 없다. 오늘 SKT가 위약금 면제를 수용한다면 소비자들께서 혼란을 겪지 않으시도록 구체적인 기준이나 절차를 제시하지 않을까 생각한다.

-- 향후 다른 통신사들에서 똑같은 정보 유출 사고가 발생하더라도 보호의무를 충실히 했다고 판단되면 위약금 면제 요건에 해당하지 않는다고 볼 건가.

▲ (류제명) 회사의 귀책 사유로 인해 해지하는 경우를 어떻게 구체화할 건지가 필요하다고 본다. 이용약관에 나오는 사업자의 22가지 의무 조항을 위반했느냐가 채무불이행을 따질 수 있는 근거가 되겠다. 다만 그 의무 위반이 계약의 전속을 유지할 수 없을 정도로 신뢰 훼손에 이르렀는지 등의 판단은 모호한 측면이 있다. 침해사고와 위약금 면제를 일반화하기에는 한계가 있다.

-- SKT의 해킹 은폐 등 고의성 의혹 등을 고려하면 자격이 없는 사업자에게 정부가 국가기간통신망 역할을 맡긴 것 아닌가.

▲ (류제명) 민관합동조사단의 활동 안에서 구체적인 범죄성을 밝히기는 한계가 있다. 관련 고소·고발이 이루어지고 있고 고의성 등 범죄적 측면은 경찰 수사를 통해서 밝혀질 것으로 생각한다. 일반 국민들이 기대하는 정도의 의무를 이행할 수 없을 정도로 범죄적인 내용이 있다면 그때 판단하겠다.

hyunsu@yna.co.kr

▶제보는 카톡 okjebo

Copyright © 연합뉴스. 무단전재 -재배포, AI 학습 및 활용 금지