과학기술정보통신부(이하 과기정통부)는 7월 4일 SK텔레콤(이하 SKT) 유심정보 대규모 유출 사고에 대한 민관합동조사단의 최종 조사 결과를 발표하고, SKT가 이번 침해사고에 책임이 있다고 공식 판단했다.
이번 사고는 유심 기반 개인정보가 유출된 대규모 사이버 침해 사건으로, 유출 정보는 총 25종, 약 2,696만 건(9.82GB) 규모로 확인됐다.
계정 관리 및 보안 체계 전반에 심각한 허점
과기정통부에 따르면, 이번 사고의 핵심 원인은 ▲서버 계정정보의 평문 저장 ▲주요 정보의 암호화 미흡 ▲침해사고 대응 및 신고 지연 등이다. SKT는 과거에도 유사한 침해 정황이 있었지만 적절한 조치 없이 운영을 지속해왔으며, 일부 서버에서는 2021년부터 악성코드가 잠복해 있었던 것으로 드러났다.
특히 유심 복제에 악용될 수 있는 유심 인증키(Ki) 값이 암호화 없이 저장되어 있었고, 이는 국제 기준과 경쟁 통신사(KT, LGU+)의 암호화 관행과 비교해도 매우 미흡한 수준이라는 지적이다.
위약금 면제 검토… “이용자 피해 책임 일부 인정”
과기정통부는 SKT의 과실이 명백하다고 보고, “이용자가 이번 사고를 이유로 약정 해지를 요청할 경우, SKT 약관 제43조에 따라 위약금 면제 사유에 해당할 수 있다”고 밝혔다.
해당 약관은 ‘회사의 귀책사유로 인한 해지 시 위약금을 면제한다’는 내용을 담고 있다.
피해자 사례 잇따라… “사후 조치 사실상 전무”
피해 사례도 속속 드러나고 있다. 한 피해자는 본인도 모르게 유심이 개통돼 메신저, SNS, 금융 계정이 탈취되었으며, 이에 대해 SKT는 “수사기관에 문의하라”는 안내 외에 실질적인 조치를 제공하지 않았다고 주장했다.
전문가들은 유심 기반 명의도용의 경우 “이용자가 사전·사후 모두 방어하기 어려운 구조”라며, 통신사의 책임 강화가 필요하다고 지적하고 있다.
정부, SKT에 보안 체계 전면 개선 명령 예정
과기정통부는 향후 ▲정보보호 인력·예산 확대 ▲보안 점검 체계 강화 ▲공급망 보안 대책 수립 ▲정보보호 거버넌스 개편 등 SKT가 수립한 재발방지 대책의 이행 여부를 점검할 계획이다.
이행 점검 결과에 따라 정보통신망법 제48조의4에 따라 시정명령 등 후속 조치를 취할 방침이다.
보안 우려 지속… 타 통신사 이동 움직임도
이번 사고 이후 보안이 상대적으로 강화된 통신사로의 이동을 고려하는 소비자도 늘고 있다. SKT와 달리 KT, LGU+는 유심 관련 주요 정보를 암호화하고 있으며, 침해사고 대응 체계도 강화되고 있다는 평가다.
소비자가 선택할 수 있는 실질적 해법은?
현행법상 명의 도용 및 유심 피해에 대한 보상이나 원상회복 절차는 사실상 소비자 책임으로 떠넘겨져 있다. 전문가들은 “보안조치가 강화된 타 통신사(KT, LG U+)로 이동하는 것이 현실적인 보호책”이라고 말한다.
실제로 KT와 LG U+는 유심 인증키를 암호화해 저장하고 있으며, 침해사고 대응 시스템도 상대적으로 빠르게 가동되고 있다는 평가다.
지금이라도 통신사를 바꾸자
보안 사고에 대한 사과도, 보상도 없이 고객을 외면하는 통신사와 계속 거래할 이유는 없다. 개인정보를 지키고, 명의 도용을 사전에 막기 위해 소비자는 SKT가 아닌 다른 통신사를 선택해야 할 때다.
타 통신사 변경은 사용하는 스마트폰까지 변경할 필요 없이 유심만 변경해도 된다.
관련 문의 ( 010-9090-8513 )
){kind=small}
){kind=small}
){kind=small}
){kind=small}