해킹 사실 인지 후 40여시간 지나 '신고', 공지는 더 늦게 이뤄져
대책으로 내놓은 유심보호서비스, "가입절차 번거롭다" 지적에 "간소화"

[미디어오늘 금준경 기자]

▲ SK텔레콤 로고.

초유의 유심(USIM) 해킹 사고가 발생한 SK텔레콤이 해킹 사실을 뒤늦게 신고한 것으로 나타났다.

24일 국회 과학기술정보방송통신위원회 소속 최수진 국민의힘 의원이 공개한 자료에 따르면 SK텔레콤은 해킹 사실 인지 후 40여시간이 지난 시점에 한국인터넷진흥원(KISA)에 신고했다.

SK텔레콤이 내부 시스템에 문제가 있다는 사실을 인지한 시점은 지난 18일 오후 6시9분이다. 이후 같은 날 오후 11시20분 해킹 공격 사실을 확인했다. 다음날인 지난 19일 오후 11시40분 악성코드로 인해 가입자 유심(USIM) 관련 정보가 유출된 사실을 파악했다. SK텔레콤은 지난 20일 오후 4시46분에 한국인터넷진흥원(KISA)에 해킹 사실을 신고했다.

정보통신서비스 제공자는 침해사실 인지 후 24시간 이내에 신고해야 하지만 이를 지키지 않았다. 관련 법 위반시 3000만 원 이하의 과태료가 부과된다. 대기업 입장에선 늑장 신고에 따른 처벌은 강하지 않다.

이와 관련 SK텔레콤은 사안을 파악하는 데 시간이 걸렸고 고의로 신고를 늦게 한 건 아니라는 입장을 냈다. 그러나 조수진 의원실 자료에 따르면 해킹 정황을 구체적으로 확인한 시점을 기준으로 계산해도 즉각 신고가 이뤄지지 않았다.

유심(USIM)은 휴대폰에 삽입돼 이용자 가입 정보, 인증정보 등을 저장하는 칩으로 유심이 해킹될 경우 유심을 조작해 사실상 신원을 도용하는 여러 범죄에 악용될 수 있다.

해킹에 따른 대응도 도마 위에 올랐다. SK텔레콤이 고객센터 공지를 통해 “유심 관련 일부 정보가 유출된 것으로 의심되는 정황을 발견했다”고 밝힌 건 지난 22일로 신고 이후 이틀이나 지난 시점이다.

SK텔레콤은 대책으로 피해자들에게 피해를 막을 수 있는 '유심보호서비스'를 제공하고 있지만 이 역시 논란이 되고 있다. IT전문 유튜브 잇섭은 “직접해보니 해외 로밍을 자주하는 저는 로밍을 해지해야 가입할 수 있어서 불편하고 대안이 안 된다”고 지적했다. 유심보호서비스에 가입하면 유심 정보를 탈취해 다른 기기에서 통신 서비스에 접속하는 것이 차단된다.

▲ SK켈레콤 공지사항 갈무리.

이와 관련 SK텔레콤은 24일 입장을 내고 “유심보호서비스에 가입할 경우 해외 부정사용을 막기 위해 로밍 사용이 제한되는데, 이로 인해 여러 단계를 거쳐야 하는 불편함이 있었다”며 “24일부로 로밍 요금제만 해지하면 바로 '유심보호서비스'에 가입할 수 있도록 가입 프로세스를 개선했다”고 설명했다.

이번 사고는 SK텔레콤 서버가 악성코드에 감염돼 유심 관련 정보가 유출된 것으로 추정된다. 유출된 정보는 이동가입자 식별번호, 단말기 고유식별번호, 유심키인증정보 등이다. 민감한 개인정보는 유출되지 않았지만 유심 복제로 인해 불법 개통이 이뤄질 수 있다는 점에서 우려가 있다.

정부는 조사 후 제재에 나설 전망이다. 개인정보보호위원회는 지난 22일 보도자료를 통해 “조사에 즉시 착수했다”며 “개인정보보호법 준수 여부를 조사할 것이며 법 위반 사항이 확인되는 경우 관련 법령에 따라 엄정히 처분할 예정”이라고 했다

Copyright © 미디어오늘. 무단전재 및 재배포 금지.