SKT 해킹사태가 남긴 숙제, 위기를 기회로 삼아야

단순한 기술 실패 아냐... 피해 복구 제대로 하고 국가 사이버안보 전략 점검해야

[유도진 기자]

▲ 최태원 에스케이(SK)그룹 회장이 지난 5월 7일 오전 서울 중구 에스케이텔레콤에서 유심(USIM·가입자 식별 모듈) 해킹 사태에 관한 브리핑을 열고 허리 숙여 사과하고 있다. ⓒ 공동취재사진

오늘 7월 4일 오후 2시에 발표된 SKT해킹사태 합동조사단 결과 보고에 따르면 SKT가 2021년부터 해킹 공격을 받아 유심정보 25종, 규모 9.82GB, IMSI 2696만 건이 외부로 유출된 것으로 공식 확인되었다. 악성코드 33종이 서버 28대에 잠복했고 관리망 계정, HSS 비밀번호가 평문으로 저장되어 있었다. 사고를 인지한 뒤에도 법정시간인 24시간을 넘겨 신고한 사실은 사이버보안 주권을 맡은 주체들의 인식이 어떠했는지를 증명한다.

이번 사태는 단순히 보안을 하는 사람들의 일로 넘어가서는 안 된다. 단순한 기술 실패가 아니기 때문이다. 이용자 식별정보가 빠져나간 순간 휴대전화 복제, 스미싱, 위치 추적 위험이 현실이 됐다. 약 2600만의 우리 국민들의 사생활을 노출당한 셈이며, 이는 헌법상의 자기결정권, 개인정보 자기결정권과 국가 사이버보안 신뢰를 동시에 뒤흔드는 엄중한 침해다.

사고의 핵심은 두 가지다. 첫째, SKT 내부 거버넌스가 허술했음을 부인하기 힘들다. 사이버보안 투자 규모는 경쟁사보다 작았고 보안 인력의 다수가 외주에 의존했다.

둘째, 정부 감독 체계가 뒤따르지 못했다. '21년 KT DNS 장애, '23년 LG유플러스 고객정보 유출 등 심각한 경고사태가 이어졌지만 통신 3사를 아우르는 상시 감사 및 투명 공시 제도가 마련되지 못했다. 이는 민관합동이라는 표어가 현장에서 실행되지 않았다는 방증이기도 하다.

따라서 대응의 1순위는 피해 복구다. 정부는 약관과 법령이 허용하는 최대 범위로 위약금을 면제하고 요금 감면과 현금 배상을 포함한 표준 보상안을 고시해야 한다. SKT 역시 무료 유심 교체를 넘어 개인정보 모니터링 서비스, 2차 피해 보험 가입 지원 등 실질적 구제책을 제시해야만 한다.

동시에 국가 사이버안보 전략을 점검해야 한다. 기간통신사는 제로트러스트 네트워크와 다중 인증, 하드웨어 보안 모듈을 의무화하고 로그를 최소 2년 이상 중앙 수집하도록 망법을 개정해야 한다. 사이버보험 가입 한도도 피해 규모에 연동해 드라마틱하게 높여야 하며, 그 모델은 EU의 GDPR(General Data Protection Regulation, 유럽 연합 일반 데이터 보호 규칙)에 비견되어야 한다. 또한 과기부, KISA는 통신 3사 및 핵심 ICT 사업자에 대해 일정 기간마다 모의 테스트 시험과 실전형 대응 훈련을 하고 결과를 등급별로 공개해야 하는 것이 도움이 될 것이다.

사이버 공간은 태생에서부터 늘 그랬듯 국가 안보의 최전선이다. 정보가 새어나간 자리에 신뢰를 다시 채우는 길은 어렵지만 오로지 제도의 교정과 실제적 실행을 묵묵히 해나가야 한다. 정부와 통신사는 위기를 기회로, 이번 사고를 '비용'으로만 계산하지 말고 국가 사이버보안을 재건할 기회로 삼아야 한다. 유출된 개인정보 1바이트는 돌아오지 않을지라도 국민의 신뢰는 오늘 당장 시작하는 개혁으로 되살릴 수 있다.

덧붙이는 글 | 유도진 기자는 극동대학교 해킹보안학과 교수입니다.