"3년 전 신고했다면"…SKT, 해킹 막을 수 있었다

<앵커>

이렇게 해킹 공격은 치밀했는데, SK텔레콤의 대처는 허술하기만 했습니다. 이미 3년 전에 악성코드에 감염됐단 걸 알고도 당국에 신고하지 않았다는 사실이 이번 조사에서 새롭게 드러나기도 했습니다. 정부는 SK텔레콤의 잘못이 명백한 만큼 위약금 면제 사유에 해당한다고 판단했습니다.

계속해서 홍영재 기자입니다.

<기자>

지난 2022년 2월 23일, SK텔레콤은 일부 서버가 비정상적으로 꺼졌다 켜지는 이상 현상을 발견했습니다.

점검 결과 악성코드가 나왔지만, 감염 파일만 삭제하고 당국에 신고하지 않았습니다.

즉시 관계 당국에 신고하도록 한 정보통신망법을 어긴 겁니다.

특히 점검 과정에서 2천700만 건의 유심 정보 유출 통로가 된 음성통화인증 관리 서버에 대한 수상한 로그인 시도도 확인됐지만, SK텔레콤은 6개의 로그 기록 중 1개만 확인한 뒤 별다른 조치를 취하지 않았습니다.

이미 3년 전에 해킹 공격을 막을 기회가 있었지만 놓친 겁니다.

[류제명/과학기술정보통신부 2차관 : 만약 SK텔레콤이 당시 나머지 5개의 로그기록도 점검하였다면 악성코드에 감염되어 있었던 음성통화인증 관리서버에 공격자가 접속한 것을 확인할 수 있었을 것입니다.]

보안 체계도 허술했습니다.

서버에 접속하는 아이디와 비밀번호들이 암호화되지 않은 채 저장돼, 해커가 서버 침투를 늘려가는 원인을 제공했습니다.

정부는 유심 정보 해킹 사고에서 SK텔레콤의 과실이 명백하다며, 중도 해지 가입자의 위약금을 면제해 줘야 한다고 판단했습니다.

[류제명/과학기술정보통신부 2차관 : 계약상 주된 의무인 안전한 통신서비스 제공 의무를 다하지 못한 점 등을 고려할 때 이번 침해사고는 SK텔레콤 이용 약관상 회사의 귀책 사유에 해당한다고….]

특히 지난 4월 해킹 사고 직후 정부가 자료 보전을 명령했지만, SK텔레콤은 이 명령을 받고도 서버 2대를 포맷한 뒤 제출해 포렌식조차 불가능했습니다.

정부는 이 부분을 수사 의뢰하는 한편, 3년 전 악성코드 감염 사실을 인지하고도 신고하지 않은 것과 4월 해킹 사고를 뒤늦게 신고한 데 대해서도 과태료를 부과할 방침입니다.

(영상취재 : 정성화, 영상편집 : 채철호)

홍영재 기자 yj@sbs.co.kr