유심 타깃 인지하고도 ‘전화번호 추정‘으로 축소 보고...책임 논란 증폭

[보안뉴스 성기노 기자] SK텔레콤이 유심(USIM) 정보 유출을 인지한 이후 한국인터넷진흥원(KISA)과의 통화에서 피해 범위를 축소 보고한 정황이 드러났다. 국회 과학기술정보방송통신위원회 위원장인 최민희 의원(더불어민주당, 경기 남양주갑)에 따르면, SK텔레콤은 4월 19일 밤 11시 40분경 홈가입자서버(HSS)에서 유심 관련 정보가 유출된 사실을 내부적으로 인지한 것으로 확인됐다.


▲유영상 SK텔레콤 대표이사가 4월 30일 국회 과학기술정보방송통신위원회의에서 열린 방송통신 분야 청문회에서 유심 해킹 사태에 대해 사과하고 있다. [자료:연합]

그러나 최민희 의원실이 입수한 SK텔레콤과 한국인터넷진흥원(KISA) 간의 통화 녹취록에 따르면, SK텔레콤은 다음날인 4월 20일 오후 4시 46분 신고 직후 KISA와의 통화에서 개인정보 유출 사실을 묻는 질문에 “전화번호 정도는 포함되어 있지 않을까 추정(된다)”고만 언급하며 유심 정보 유출 사실을 명확히 전달하지 않았다.

특히 약 4분간 이어진 통화 내내 ‘유심’이라는 단어는 단 한 차례도 등장하지 않았으며, 전체적으로 피해 범위를 축소하려는 듯한 태도가 반복적으로 드러났다는 점에서 SK텔레콤이 의도적으로 사태를 은폐하려 했다는 의혹이 제기된다.

최민희 의원은 “SK텔레콤이 유심 관련 정보 유출 정황을 이미 인지하고도 이를 축소해 보고한 정황은 매우 심각한 사안”이라며 “해당 축소 보고가 누구의 판단으로 기획됐고, 누가 최종적으로 지시했는지 끝까지 따져 물을 것”이라고 밝혔다.

이어 “이처럼 무책임한 태도로 대규모 해킹 사태를 대응해 놓고도 위약금 면제 등 회사 귀책에 따른 기본적인 조치조차 하지 않는 것은 국민적 분노를 자초하는 일”이라고 강하게 비판했다.

이번 SK텔레콤의 축소 보고와 은폐 정황은 단순히 신고 지연 문제가 아니다. 유심 정보 유출 사실이 초기부터 제대로 공유되지 않으면 피해 고객들이 유심 교체나 2차 인증 강화 등의 즉각적인 대응을 하지 못하게 ‘방해’를 하는 상황이 발생하고 결국 2차 피해에 노출될 수밖에 없다.

특히 KISA와 정부의 초기 대응 및 피해 확산 방지 조치가 늦어져 공격자에게 후속 조치, 증거인멸 등의 추가 ‘이적 행위’에도 일조하는 셈이 된다. 결국 기업의 책임성과 투명성에 대한 사회적 신뢰가 무너지고 장기적으로 국내 통신시장 전체의 보안 신뢰도가 추락하는 것이다.

SK텔레콤의 은폐 시도는 2500만 고객을 무방비로 방치하고, 통신 인프라의 취약점을 범죄자에게 방치한 셈이 된다는 점에서 반드시 진상 규명과 함께 후속 처벌 조치도 이뤄져야 한다.

보안 업계의 한 관계자는 이에 대해 “SK텔레콤이 피해 범위를 축소 보고한 것은 단순한 실수가 아니라 명백한 책임 회피이자 소비자 기만이다. 해킹 피해 초기에는 피해 범위를 정확히 밝히고, 보안기관 및 소비자와 협력하는 것이 기본 원칙”이라며, “하지만 SK텔레콤은 상황을 축소하고 시간을 끌다가 사태를 걷잡을 수 없이 악화시켰다. 유심(USIM) 정보는 단순 개인정보가 아니라 이동통신 인증의 핵심 열쇠로 유출 시 스미싱, 번호도용, 심스와핑 같은 2차 피해로 쉽게 번질 수 있다. 이런 정보를 초기에 숨겼다는 건 소비자 보호를 포기했다는 뜻이다”라고 비판했다.


▲유심 정보를 탈취 당한 SK텔레콤이 유심 무료교체 서비스를 시작한 지 이틀째인 4월 29일 SKT 대리점에 시민들이 줄을 서서 교체를 기다리고 있다. [자료: 연합]

기자는 SK텔레콤측의 해명을 듣기 위해 연락을 시도했으나 연결이 되지 않았다. 이번 해킹 사태로 문의가 폭주하자 일일이 대응하기 어려운 상황으로 보인다. 이에 대해 최민희 의원실의 신진영 선임비서관은 기자와의 통화에서 “최근 전체회의에서 최민희 의원이 유심 유출 은폐 의혹에 대해 질의를 했는데 SK텔레콤 부사장이 제대로 답을 못했다. 그래서 다음주 4월 8일 상임위에서 다시 질의를 할 예정”이라고 밝혔다.

그리고 “SK텔레콤이 이런 의혹들에 대해 설명하고 해명하는 등의 활동을 하지 않느냐”는 기자의 질문에 대해 “지금 그쪽이 정신이 없고 하나하나의 사안에 대응을 할 수 없을 것”이라고 밝혔다. 이번 유심 유출 은폐 의혹 제기에 대해서도 최민희 의원실은 SK텔레콤으로부터 따로 해명을 받거나 한 사실은 없다고 밝혔다.

이에 대해 경제계 한 관계자는 “SK텔레콤 입장에서 창사 이래 아마 가장 큰 사고이기 때문에 홍보라인도 혼란스러울 것이다. 그렇지만 최근 출입기자들 사이에서도 원성이 자자하다는 말도 나온다. SK텔레콤에 전화를 하면 정말 안 받기 때문이다. 열 번 해서 한번 연결이 된 적이 있다고 좋아하는 기자도 있다. 이게 홍보 라인의 고의적인 회피 작전이라면 SK텔레콤이 아직도 정신을 못 차리고 있다는 방증이자, 무책임한 대응이라고 본다”라고 말했다.

한편 국회 과학기술정보방송통신위원회는 오는 8일 SK텔레콤을 상대로 이번 해킹사고에 대한 청문회를 개최하고 대응과정의 축소·은폐 정황 등에 대해 집중 추궁할 계획이다.

■ KISA담당자 – SKT 담당자 통화내역(20일 신고 직후)
*녹취 파일은 아래 링크의 2시간 8분 20초를 참고 하시기 바랍니다.
https://www.youtube.com/live/_yxzRtX0-pM?si=Bn2OSyKLrswxAark

-전략- (총 통화분량은 5분 23초이며, 아래 구간은 총 43초임.)

KISA : 유출된 파일이... 혹시 개인정보가 포함되어 있으실까요?
SKT : 이게 사실 저희가 지금 파악을 하고 있는 중인데요, 아마도 불상의 어떤 공격자가 유출행위를 하고, 파일이라던지 로그를 지운 것으로 분석을 지금 하고 있는 중입니다.
SKT : 만약에 그 분석이나 포렌식이 잘 돼야지 사실은 확인이 가능한데
SKT : 일단은, 만약에 그게 저희가 생각하는 시나리오가 맞다면 뭐...
SKT : 전화번호 정도의 아마도 뭐... 어떤 개인을 식별할 수 있는, 특정할 수 있는 정보는 아니지만, 아마도 전화번호 정도 같은 그런 정보는 포함이 돼 있지 않을까 추정이 됩니다.

[성기노 기자(kino@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>