“어떤 보상 받을지 궁금한데”…‘SK텔레콤 해킹 사태’ 조사단 발표 연기

SKT 조사 결과 발표 미뤄지며
가입자 보상안 공개도 지연돼

귀책 판단·위약금 면제에 신중
3년간 7조 규모 매출 타격 예상
형평성∙이사회·과징금 등 부담

SKT, 정보보호·보안 강화 박차

[한주형 기자]

SK텔레콤 유심(USIM) 정보 해킹 사태 관련 민관합동조사단의 조사 결과 발표가 미뤄졌다.

정보당국의 책임자 판단과 SK텔레콤의 가입자 보상안 공개도 스톱 상태에 놓였다.

30일 과학기술정보통신부에 따르면 이날 진행하기로 예고됐던 조사단의 SK텔레콤 해킹 사태 조사 결과 국회 보고가 연기됐다.

정확한 보고 일정은 정해지지 않았다.

과기정통부는 국회와 협의를 거쳐 일정을 조율한다는 방침이다.

앞서 유상임 과기정통부 장관은 지난 27일 국회 과학기술정보방송통신위원회 전체회의에 출석해 “조사단 조사 결과를 6월 30일 발표하고 이 결과를 바탕으로 법률적 검토를 받아야 한다”며 “차기 장관에게 누가 되지 않도록 (위약금 면제에 대한 정부 입장은) 7월 4일 정도에 밝힐 예정”이라고 말한 바 있다.

자연스럽게 SK텔레콤의 고객 보상안 결정도 지연될 전망이다.

SK텔레콤 가입자들은 이용 해지 시 위약금 면제를 요구하고 있다.

위약금 면제는 SK텔레콤의 귀책 여부에 달렸다.

SK텔레콤은 위약금 면제에 신중해야 한다는 입장이다.

심스와핑을 통한 재산 탈취 사건 등 추가 피해가 발생하지 않은 점을 고려해 달라는 주장이다.

대신 고객 신뢰 회복을 위해 요금 감면 등 보상안을 마련할 계획이다.

최태원 SK그룹 회장이 지난달 7일 서울 중구 을지로 SK텔레콤 본사에서 열린 유심 정보 유출 관련 브리핑에 참석해 대국민 사과를 하고 있다. [한주형 기자]

SK텔레콤 이용약관 제43조를 보면 ‘회사의 귀책 사유로 인해 해지할 경우 위약금 납부 의무가 면제된다’고 적혀 있다.

하지만 제22조에 ‘정보통신망법에 따라 안전진단을 수검하고, 선량한 관리자의 주의의무를 다했다면 침해사고 등에 대한 책임을 지지 않는다’고 명시해 뒀다.

SK텔레콤이 이탈자의 위약금을 전액 면제해 줄 경우 매출 타격이 불가피하다.

이는 SK텔레콤의 존립 기반을 흔들 수 있는 부분이다.

실제로 유영상 SK텔레콤 대표이사는 지난달 8일 과방위 청문회에서 “위약금 면제 시 3년간 최대 7조원의 손실이 예상된다”고 호소했다.

고객별 형평성 문제도 거론된다.

위약금이 남은 가입자와 위약금이 없는 가입자로 분류되는데 일괄적으로 위약금을 면제하면 위약금이 없는 고객이 불리한 구조가 된다.

개인정보가 유출됐는지 확실하지 않은 가입자가 위약금 면제 요구해도 거부하기 어렵다.

여기에 이사회의 허락까지 필요하다.

개인정보보호위원회의 과징금 철퇴도 부담이다.

개보위가 SK텔레콤에 과거와 비교할 수 없는 수준의 처벌을 내리겠다고 예고했기 때문이다.

만약 개인정보보호법에서 정한 최대 금액인 전체 매출액의 3%가 과징금으로 부과되면 5400억원 규모에 달한다.

[사진 = 연합뉴스]

현재 조사단은 지난 4월 29일 1차 발표와 지난달 19일 2차 발표를 통해, 악성코드 25종을 발견했고 감염서버 23대를 찾아냈다고 전했다.

유출된 항목은 가입자식별번호(IMSI)와 단말기식별번호(IMEI), 이름, 생년월일, 휴대전화번호 등이다.

먼저 웹셸을 설치한 후 BPF도어 악성코드를 심어 해킹했을 가능성이 크다.

자료실에서 발자국을 발견해 침입이 있었다는 사실은 확인했지만 누가, 무엇을, 얼마나, 왜 빼돌렸는지 파악할 수 없는 상황이라는 게 국가안보전략연구원의 설명이다.

수사기관은 해커 추적에 주력하고 있다.

경찰은 미국을 비롯한 해외 5개국의 수사기관 및 정보기술(IT)업체와 공조 중이다.

아울러 SK텔레콤 관계자에 대한 고소장도 접수했다.

최태원 SK그룹 회장도 시민단체로부터 개인정보보호법 및 정보통신망법 위반 등 혐의로 고발당했다.

한편 SK텔레콤은 정보보호 거버넌스를 재정비하고 보안 전략 수립, 내부 통제 강화, 인프라 고도화 등 보안 프로세스 전반에 걸쳐 대규모 투자와 체계적인 관리를 이어나가겠다고 약속했다.

우선 이동통신과 인공지능(AI) 등 주요 서비스로 정보보호 및 개인정보보호 관리체계 국내 인증 범위를 확대한다.

매년 상품, 서비스, 수탁사, 유통망 등 정보보호 실태 점검도 진행하기로 했다.

모의 해킹을 주기적으로 시행하고 악성코드 침입을 막기 위한 탐지·대응 체계를 마련한다.

궁극적으로 오는 2027년까지 모든 사이버 활동을 중앙에서 통제할 수 있는 전사 통합 신원·접근 관리(IAM) 체계를 구축하는 것이 목표다.