'유심 해킹'에 SKT 소비자 불안…보고규정 위반까지 논란 '일파만파'

컨슈머타임스=곽민구 기자 | 악성코드로 인해 SK텔레콤(SKT) 고객의 유심 관련 일부 정보가 유출되면서 소비자들이 불안에 떨고 있다.

특히 24시간 내 해킹 공격 보고 규정을 위반한 것으로 나타나 논란이 일파만파 커지고 있다.

SKT는 지난 19일 악성코드로 인해 고객의 유심 관련 일부 정보가 유출된 것으로 의심되는 정황을 발견했다.

SKT는 정확한 유출 원인·규모·항목 등을 지속적으로 파악 중이며, 관련 법률에 따라 20일 한국인터넷진흥원(KISA)에 침해사고 사실을 즉시 신고했다고 설명했다. 또 22일 오전 10시에는 개인정보보호위원회에 개인정보 유출 정황을 신고하고 관련 조사에 적극적으로 협조했다고 회사는 덧붙였다.

SKT는 "유출 가능성을 인지한 후 해당 악성코드를 즉시 삭제했으며, 해킹 의심 장비도 격리 조치했다"라며 "지금까지 해당 정보가 실제로 악용된 사례는 확인되지 않았으나, 고객님의 피해를 예방하기 위해 조치를 시행하고 있다"고 했다.

SKT는 △전체 시스템 전수 조사 △불법 유심 기변 및 비정상 인증 시도 차단 강화 △피해 의심 징후 발견 시 즉각적인 이용 정지 및 안내 조치 강화 등의 조치를 진행했다.

또한 홈페이지를 통한 고객 고지와 함께 추가적인 안전 조치를 원하는 고객들을 위해 홈페이지와 T월드를 통해 '유심보호 서비스(무료)'를 제공하고 있다.

SKT가 발 빠르게 해킹 사고를 수습하기 위해 노력하면서 논란이 잠재워지는 듯했으나, 해킹 공격 최초 인지 시점이 고객 정보 탈취를 인지한 시점보다 하루 빨랐던 것으로 나타나면서 논란이 재점화됐다.

24일 국회 과학기술정보방송통신위원회 소속 최수진 국민의힘 의원이 SKT로부터 제출받은 자료에 따르면 SKT는 지난 18일 오후 6시 9분 의도치 않게 사내 시스템 데이터가 움직였다는 사실을 최초로 인지했다.

이어 같은 날 오후 11시 20분 악성코드를 발견하고 해킹 공격을 받았다는 사실을 내부적으로 확인한 것으로 나타났다.

다음 날인 19일 오전 1시 40분 어떤 데이터가 빠져나갔는지 분석을 시작했으며, 같은 날 오후 11시 40분 해커에 의한 악성 코드로 이용자 유심과 관련한 일부 정보가 유출된 정황을 확인했다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령(정보통신망법 시행령) 제58조의2에 따르면 SKT는 침해사고 발생을 알게 된 때부터 24시간 이내에 발생 일시, 원인, 피해 내용 등을 과학기술정보통신부 장관이나 한국인터넷진흥원(KISA)에 신고했어야 한다.

SKT는 최 의원실에 보고된 KISA 보고 시점보다 사건 최초 인지 시점이 45시간 차이가 나면서 지연 보고했다. 해킹 공격으로 판단한 18일 오후 11시 20분을 기준으로 하더라도 만 하루를 넘긴 시점에 신고한 것이다.

KISA에서도 최 의원실에 SKT가 24시간 내 해킹 공격을 보고해야 하는 규정을 위반했다고 밝혔다.

최 의원은 "SKT 해킹 사건 발생 이후 소비자 우려가 커지고 있다"라며 "국회 차원에서 침해사고로 인한 피해 확산을 막고 재발을 막기 위한 방안을 마련하겠다"고 말했다.

SKT 관계자는 "내용을 더 철저하게 파악하는 과정에서 신고가 늦어진 것"이라며 "고의적인 지연 의도는 없었다"고 말했다.