SKT, 24시간 이내 침해사고 신고 위반 '시인'⋯"고의적 지연은 아냐"

3 hours ago 1

침해사고 최초 인지 시점 18일 오후 6시⋯ 20일 오후 4시 넘어 KISA 신고
개보위 "이론적으로는 유심 일부 정보로도 복제 가능...조사 완료돼야 알 수 있어"

[아이뉴스24 안세준·윤소진 기자] SK텔레콤이 해킹 침해가 발생한지 24시간이 넘어 신고한 것으로 24일 드러났다. 다만 침해사고에 대한 분석 및 탐색을 진행하는 과정에서 상당 시간이 소요됐을 뿐 고의적 지연 의도는 없었다고 해명했다.

가입자만 2300만 SKT⋯"분석 및 탐색하는 과정서 시간 소요"

정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(정보통신망법 시행령) 제58조의2에 따르면 SK텔레콤은 침해사고 발생을 알게 된 때부터 24시간 이내에 발생 일시, 원인 및 피해 내용 등을 과학기술정보통신부 장관이나 한국인터넷진흥원(KISA)에 신고했어야 한다.

하지만 SK텔레콤은 KISA에 20일 오후 4시46분 신고했다. SK텔레콤이 사건을 최초 인지한 시점은 18일 오후 6시경이다. 약 45시간 차이로 24시간 이내 신고 규정을 위반했다.

이에 대해 SK텔레콤은 "18일 오후 6시 '이상 징후'를 알게 되었다. 정확히 따지면 침해 사실을 인지한 시점"이라며 "이후 19일에 '유출 사실'을 인지하게 됐다. 당사가 19일에 의심 정황이 발견됐다며 발표하게 된 배경"이라고 설명했다.

그러면서 "24시간 이내에 신고를 하지 못한 것은 맞지만 고의적인 지연 의도는 없었다"며 "수천만 명이 사용하는 SK텔레콤에 대한 해킹 건이다 보니 발생 원인 등에 대한 분석 및 탐색하는 데 시간이 소요됐다. 당사가 KISA에 신고했던 내용에는 이런 것들이 모두 기재돼 있다"고 답했다.

"유심 일부 정보로 복제, 이론적으로는 가능⋯정확한 건 조사 완료돼야"

이번 사고는 고객 유심 관련 정보 유출로 유심 정보가 복제돼 자산 탈취에 쓰일 수도 있다는 우려가 제기되고 있다. 이에 대해 개인정보보호위원회 관계자는 "이론적으로 유심 일부 정보를 가지고도 유심 복제가 가능하다고 알고 있다"면서도 "이번 사태에 경우에도 그것이 가능한지는 조사가 완료돼야 알 수 있을 것"이라고 말했다.

SK텔레콤은 고객 유심 관련 일부 정보가 유출된 것으로 의심되는 정황을 발견한 이후인 22일 오전 10시경 개인정보보호위원회에 유출 정황을 신고했다. 개보위는 자료제출 요구, 현장 조사 등을 통해 유출 경위, 피해 규모, 안전조치 의무 등 개인정보 보호법 준수 여부를 조사하기로 했다.

유출된 유심 관련 정보로는 이동가입자식별번호(IMSI), 단말기 고유식별번호(IMEI), 유심 인증키 등이 거론되고 있다. 개보위 관계자는 "아직 조사 초기 단계라 구체적으로 어떤 데이터가 유출됐는지 파악 중인 단계"라고 했다.

일각에선 유심 정보 탈취로 인해 모바일과 연결된 다른 앱 서비스에도 영향을 줄 수 있을 가능성이 제기되고 있다. 이에 대해 이 관계자는 "유심 정보는 통화에 관한 것으로 일반적인 어플리케이션 서비스에는 영향이 없는 것으로 안다"면서도 "다만 자세한 것은 조사를 진행해봐야 안다"고 덧붙였다.

한편 SK텔레콤은 피해 최소화를 위해 유심보호서비스를 확대·안내하고 있다. 유심보호서비스 가입 프로세스는 간소화하고 114 고객센터 상담시간은 연장했다. 사이버 침해 사고 전담센터도 24시간 운영 중이다. 폭넓은 보호를 위해 SK텔레콤 통신망을 사용하는 알뜰폰 고객 대상으로도 유심보호서비스를 제공한다.

/안세준 기자(nocount-jun@inews24.com),윤소진 기자(sojin@inews24.com)

포토뉴스