정부 “SKT 해킹사고 위약금 면제해야”…최종 조사 결과 발표

사고 원인 분석 인포그래픽. 과기정통부 제공

정부가 SK텔레콤 해킹 사고로 계약을 해지하는 이용자들에게 위약금을 면제해야 한다고 밝혔다.

과학기술정보통신부는 4일 SKT 침해사고 관련 민관합동조사단 결과를 발표하며 이같이 밝혔다. 과기정통부는 이번 사고 책임은 SK텔레콤에 있고 계약상 중요한 안전한 통신을 제공해야 하는 의무를 위반해 위약금 면제 규정에 해당한다고 판단했다.

SK텔레콤 이용약관 제43조는 ‘회사의 귀책 사유’로 이용자가 서비스를 해지할 경우 위약금을 면제하도록 명시하고 있다.

과기정통부는 SK텔레콤에 계정 정보 관리 부실, 과거 침해사고 대응 미흡, 중요 정보 암호화 조치 미흡 등의 문제가 있고 이 과정에서 SK텔레콤이 정보통신망법을 위반한 사실도 확인됐다고 지적했다. 또한 통신 사업자에게는 안전한 통신 서비스를 제공할 법적 의무가 있으며, 국민 일상이 통신을 기반으로 이뤄지는 점을 고려하면 사업자의 서비스 안전을 위한 보호 조치는 계약 시 중요한 요소라고 덧붙였다.

이번에 유출된 유심 정보는 이동통신망에 접속하고, 안전하고 신뢰할 수 있는 통신서비스를 위한 필수 요소다. 이에 다라 적절한 보호 조치가 없다면 제삼자가 유심을 복제해 이용자 번호로 서비스를 이용하거나 걸려 온 전화·문자를 가로챌 위험할 상황을 초래할 수 있다고 봤다.

과기정통부는 사고 당시 SK텔레콤은 유심 정보 보호를 위해 부정사용방지시스템과 유심보호서비스를 운영 중이었지만 서비스 가입자는 5만명뿐이었고 시스템 자체도 모든 복제 가능성을 차단하는 데 한계가 있었다고 지적했다.

과기정통부는 사고 초기 위약금 면제 규정 적용 여부를 검토하기 위해 4개 기관에 법률 자문을 한 결과, 조사 결과에서 SK텔레콤 과실이 인정된다면 위약금 면제 규정을 적용할 수 있다는 공통된 의견을 받았다고 밝혔다. 또한 마무리 시점에 5곳에 추가로 자문한 결과 4곳에서 이번 사고를 SKT의 과실로 판단했고 유심 정보 유출은 안전한 통신 서비스 제공이라는 계약의 주요 의무를 위반해 위약금 면제 대상이라는 의견을 냈다고 덧붙였다.

다만, 과기정통부는 이같은 판단은 SK텔레콤 약관과 이번 침해사고에 한정된다고 밝혔다. 모든 사이버 침해사고가 약관상 위약금 면제에 해당한다는 일반적인 해석이 아니라고 덧붙였다.

조사단은 이번 SK텔레콤 침해사고로 전체 서버 4만2605대를 대상으로 BPF도어 및 타 악성코드 감염여부에 대해 강도 높은 조사를 시행했다. 조사 과정에서 확인된 감염서버는 포렌식 등 정밀분석을 통해 정보유출 등 피해발생 여부를 파악했다.

조사단은 이번 침해사고로 공격받은 총 28대 서버에 대한 포렌식 분석 결과, BPF도어 27종을 포함한 악성코드 33종을 확인했다. 유출된 정보는 전화번호, 가입자 식별번호(IMSI) 등 유심정보 25종이다. 유출 규모는 9.82GB, IMSI 기준 약 2696만건이었다. 조사단은 조사를 통해 SK텔레콤의 정보보호 체계에 문제점을 발견하고 재발방지 대책을 마련했다.

유상임 과기정통부 장관은 “이번 SK텔레콤 침해사고는 국내 통신 업계뿐만 아니라 네트워크 인프라 전반의 정보 보호에 경종을 울리는 사고였다”며 “SK텔레콤은 국내 1위 이동통신 사업자로 국민 생활에 큰 영향을 미치는 만큼 이번 사고를 계기로 확인된 취약점을 철저히 조치하고 향후 정보 보호를 기업 경영의 최우선 순위로 둬야 할 것”이라고 말했다.

김나인 기자 silkni@dt.co.kr