"안전 통신 의무 다하지 못해" 과기정통부, 법률 자문 거쳐 최종 결정... 유심정보 2696만 건 유출, 4년 전부터 침투
SK텔레콤 해킹 사고로 인해 계약을 해지하는 고객들에게 회사가 위약금을 면제해야 한다는 정부의 판단이 나왔다. 과학기술정보통신부는 SK텔레콤의 과실과 안전한 통신 서비스 제공 의무 미이행을 근거로 이같이 결정했다.
과기정통부는 4일 "이번 침해 사고에서 SK텔레콤의 과실이 발견된 점, SK텔레콤이 계약상 주된 의무인 안전한 통신서비스 제공 의무를 다하지 못한 점 등을 고려할 때 회사 약관상 위약금 납부 의무가 면제되는 회사의 귀책사유에 해당한다고 판단했다"고 밝혔다. 정부는 민관 합동조사단의 조사 결과를 바탕으로 5개 법률 자문기관의 의견을 수렴했으며, 이 중 4개 기관이 이번 해킹 사고를 SK텔레콤의 과실로 판단하고 위약금 면제 규정 적용이 가능하다는 의견을 제시했다. SK텔레콤 이용약관 제43조에는 '회사의 귀책사유로 인해 해지할 경우 위약금 납부 의무가 면제된다'고 명시되어 있다.
다만, 정부는 이번 판단이 "SK텔레콤 약관과 이번 침해 사고에 한정되며, 모든 사이버 침해 사고가 약관상 위약금 면제에 해당한다는 일반적인 해석은 아니다"라고 덧붙였다.
SK텔레콤 해킹 사고 최종 조사 결과 발표
과기정통부는 이날 민관 합동조사단의 최종 조사 결과도 함께 발표했다. SK텔레콤 전체 서버 4만 2605대를 점검한 결과, 28대의 서버가 33종의 악성코드에 감염된 것으로 확인됐다. 유출된 정보는 전화번호, 가입자 식별번호(IMSI) 등 유심 정보 25종이며, 유출 규모는 9.82GB(기가바이트), IMSI 기준 약 2696만 건에 달한다.
조사단은 감염 서버 중 단말기식별번호(IMEI)와 이름, 생년월일, 전화번호, 이메일 등 개인정보가 암호화되지 않은 평문으로 임시 저장된 서버 2대와 통신기록(CDR)이 평문으로 임시 저장된 서버 1대를 발견했다. 정밀 분석 결과, 로그 기록이 남아 있는 기간에는 자료 유출 정황이 없는 것으로 확인됐으나, 악성코드 감염 시점부터 로그 기록이 없는 기간에는 유출 여부를 확인하는 것이 불가능했다고 정부는 전했다. IMEI 저장 서버는 2022년 6월 15일, CDR 저장 서버는 2023년 1월 31일 악성코드에 감염된 것으로 파악됐다.
침투 경로 및 사고 원인
공격자의 초기 침투는 4년 전부터 시작된 것으로 조사됐다. 2021년 8월 6일, 공격자는 외부 인터넷 연결 접점이 있는 시스템 관리망 내 서버A에 접속한 뒤 원격 제어, 백도어 기능 등이 포함된 악성코드를 설치했다. 당시 서버A에는 시스템 관리망 내 서버들의 계정 정보(ID, 비밀번호 등)가 평문으로 저장돼 있었다. 조사단은 공격자가 이 정보를 활용해 시스템 관리망 내 다른 서버에 접속한 것으로 추정하고 있다. 2022년 6월에는 시스템 관리망을 통해 고객 관리망 내 서버에 접속하여 악성코드를 추가로 설치한 것으로 추정된다.
공격자는 2023년 11월 30일부터 초기 침투 과정에서 확보한 계정 정보를 활용해 시스템 관리망 내 여러 서버에 추가로 악성코드를 설치했다. SK텔레콤은 시스템 관리망 내 서버의 계정 비밀번호를 장기간 변경하지 않고 있었던 것으로 드러났다. 이후 공격자는 지난 4월 18일 음성통화인증서버(HSS) 3개 서버에 저장된 유심 정보를 시스템 관리망 내 외부 인터넷 연결 접점이 있는 서버를 거쳐 유출했다.
조사단은 이번 사고의 주요 원인으로 SK텔레콤의 계정 정보 관리 부실, 과거 침해 사고 대응 미흡, 주요 정보 암호화 조치 미흡을 지적했다. SK텔레콤은 2022년 2월 23일 특정 서버에서 비정상 재부팅이 발생하여 악성코드에 감염된 서버를 발견했음에도 불구하고, 정보통신망망법에 따른 신고 의무를 이행하지 않았다. 당시 회사는 이번 사고에서 감염이 확인된 HSS 관리 서버에 비정상 로그인 시도가 있었던 정황을 발견했지만, 로그 기록 일부만 확인하여 공격자 접속 기록을 놓쳤고, 이로 인해 악성코드 발견 및 정보 유출을 막지 못했다.
정부는 재발 방지 대책으로 계정 비밀번호 관리 강화, 주요 정보 암호화, 정보보호 거버넌스 강화, 정보보호 인력 및 예산 확대 등을 제시했다.
