민관합동조사단 최종 조사 발표 후 SKT 기자회견
"해킹 사고 책임 무겁게 받아들여
고객과 사회에 깊이 사과"
사고 후 해지·14일까지 예정 고객에 위약금 면제

유영상 SK텔레콤 대표이사가 4일 서울 중구 SKT타워에서 열린 해킹 사태 관련 입장 및 향후 계획 발표 기자회견에서 고개 숙여 사과하고 있다. 뉴스1

통신업계 사상 최대 규모의 해킹 사고로 기록된 SK텔레콤 유심 해킹 사고가 결국 SKT의 '백기 투항'으로 마무리됐다. 유심 해킹 사고 이후 빠져나간 가입자와 이탈 예정인 가입자들의 해지 위약금을 면제하는 등 대규모 보상책을 꺼냈다. 위약금 면제를 요구하는 소비자들과 정치권의 목소리에 속 시원한 대답을 내놓지 못하다 과학기술정보통신부는 물론 이재명 대통령까지 나선 강력한 압박, 그리고 민관합동조사단의 '사업자 귀책' 결론에 고개를 숙였다.

SKT, 위약금 전액 면제 보상안 공식화… 위약금 규모 최대 수천억 원

임봉호 SK텔레콤 이동통신(MNO) 사업부장이 정부의 해킹 사태 관련 최종 조사 결과가 발표된 4일 서울 중구 SKT타워에서 열린 해킹 사태 관련 입장 및 향후 계획 발표 기자회견에서 위약금 면제에 관해 설명하고 있다. 연합뉴스

SKT는 4일 민관합동조사단의 최종 조사 결과 발표 직후 "이번 해킹 사고의 책임을 무겁게 받아들이며 고객과 사회에 깊이 사과드린다"고 밝혔다. SKT는 ①사고 발생 전인 4월 18일 24시 기준 약정 고객 중 침해 사고 이후 해지한 고객 및 7월 14일까지 해지 예정인 고객에게는 위약금을 받지 않는다. 이는 이미 납부한 위약금을 신청하면 되돌려 주는 형태로 진행되는데 T월드 홈페이지를 통해 자세한 내용을 알린다고 SKT는 덧붙였다. 단말기 할부금은 면제 대상이 아니다.

이와 함께 ②8월 한 달 동안 SKT 및 SKT망 알뜰폰 이용자 약 2,400만 명에게 별도 신청 없이 통신요금의 50%를 자동 할인하고 ③연말까지 다달이 50기가바이트(GB)의 데이터를 추가로 준다. 이번 사고로 ④SKT를 해지한 고객이 6개월 내 재가입하면 가입 연수와 멤버십 등급을 복원하며 ⑤6개월 이내 복귀 계획이 없더라도 사전 동의 시 3년 안에 되돌릴 수 있다고도 SKT는 밝혔다.

SKT가 이날 내놓은 '고객 감사 패키지'에는 5,000억 원이 들어갈 것으로 보인다. 또 정보보호 혁신안에도 5년 동안 7,000억 원 규모가 투자된다는 점을 감안하면 눈으로 보이는 매출 감소와 지출 증가는 1조2,000억 원에 달할 전망이다. 수천억 원에 이를 것으로 전망되는 위약금 면제 액수까지 더하면 2024년 별도 기준 SKT 영업이익(1조5,232억 원)을 육박하거나 넘을 가능성도 있다.

과기정통부·대통령 압박, SKT 보상안 발표 배경 결정적 요인 됐나

류제명 과학기술정보통신부 2차관이 4일 정부서울청사에서 SK텔레콤 해킹 사태 관련 최종 조사결과를 발표하고 있다. 연합뉴스

SKT의 이번 보상안 발표에는 정부의 강력한 압박과 이재명 대통령의 직접 주문이 결정적 영향을 미쳤다는 평가다. 과기정통부와 한국인터넷진흥원(KISA) 등으로 구성된 합동조사단은 이날 최종 조사 결과에서 "SK텔레콤의 보안 관리 부실과 법령 준수 미흡 등 명백한 귀책 사유가 있다"며 약관상 위약금 면제 사유에 해당한다고 공식 발표했다. 정부는 SKT가 위약금 면제 등 대책을 따르지 않을 경우 전기통신사업법상 시정 명령, 나아가 등록 취소까지 강경 조치하겠다고 압박했다.

이 대통령 역시 전날 수석·보좌관 회의에서 "계약 해지 과정에서 회사의 귀책 사유로 피해자들이 손해를 보는 일이 없어야 한다"며 "국민 피해에 대한 감정을 충분히 반영하고 법률 해석을 피해자 쪽에 적극적으로 해야 한다"고 강조했다. SKT는 대통령의 이 같은 발언이 나온 지 하루 만에 위약금 면제와 대규모 보상안을 내놓았다.

4년에 걸친 해킹, 2,696만 건 유심정보 유출…SKT 책임론 재확인

정부가 SK텔레콤 해킹 사고 조사 결과를 토대로 위약금 면제 규정 적용이 가능하다고 밝힌 4일 서울의 한 SKT 공식매장을 찾은 시민이 상담을 받고 있다. 뉴스1

한편 합동조사단의 최종 조사 결과 이번 해킹은 2021년 8월부터 약 4년에 걸쳐 조직적으로 이뤄졌으며, 해커는 SKT 서버 4만2,605대 중 28대를 감염시켜 총 33종의 악성코드를 심었다. 이 과정에서 9.82GB 분량의 유심정보 25종, 약 2,696만 건이 빠져나간 것으로 밝혀졌다. 유출 정보에는 전화번호, 가입자식별번호(IMSI) 등 휴대전화 사용자의 신원을 식별할 수 있는 핵심 데이터가 포함됐다.

조사단은 SKT의 계정 정보 관리 부실, 과거 침해 사고 대응 미흡, 중요 정보 암호화 미이행 등을 중대한 과실로 지적했다. 특히 2022년 이미 일부 서버에서 악성코드 감염을 알았으면서도 정보통신망법상 신고 의무를 지키지 않은 점이 드러났다. 정부는 "유심 정보 유출로 인한 2차 피해는 아직 확인되지 않았으나 유심 복제 등 잠재적 위험이 크다"며 SKT에 재발 방지 대책과 정보보호 강화 이행 계획을 7월 중 내라고 명령했다.

김진욱 기자 kimjinuk@hankookilbo.com

Copyright © 한국일보. 무단전재 및 재배포 금지.