SKT, 해킹 인지 후 40시간 넘어 '늑장 신고'…해명에도 법 위반

[이코노믹데일리] SK텔레콤이 고객 유심(USIM) 정보 해킹 사고를 인지하고도 법정 신고 기한인 24시간을 훌쩍 넘겨 당국에 신고한 것으로 드러났다. 

국회 과학기술정보방송통신위원회 소속 국민의힘 최수진 의원이 SK텔레콤으로부터 확인한 내용이다. 현행 정보통신망법은 침해 사고를 인지한 시점부터 24시간 이내에 과학기술정보통신부나 한국인터넷진흥원(KISA)에 신고하도록 규정하고 있으며 이를 위반할 경우 3000만원 이하의 과태료가 부과될 수 있다.

최 의원실에 따르면 SK텔레콤은 지난 18일 오후 6시 9분 내부 시스템에서 데이터 이상 이동 정황을 처음 포착했다. 이후 같은 날 오후 11시 20분 유심 관련 정보 처리 서버에서 악성코드를 발견하고 해킹 공격 사실을 최종 확인했다. 정보통신망법에 따라 SK텔레콤은 늦어도 19일 오후 11시 20분까지 관련 사실을 신고해야 했으나 실제 신고는 20일 오후 4시 46분에 이루어졌다. 해킹 공격 인지 시점으로부터 41시간 이상 지연된 것이다.

SK텔레콤은 19일 오후 11시 40분경 악성코드를 통해 일부 유심 정보가 유출된 사실까지 파악했지만 신고는 그로부터 17시간가량 더 지난 뒤에야 이뤄졌다. 최초 이상 징후 발견 시점 기준으로는 약 46시간 만의 신고다. KISA 측도 최 의원실에 SK텔레콤이 24시간 내 신고 규정을 위반했다고 확인했다.

SK텔레콤 측은 늑장 신고 사실 자체는 인정하면서도 고의성은 없었다고 해명했다. 회사 관계자는 "악성코드를 발견하고 내부적으로 이것이 단순 장애인지 외부 공격인지 등 원인과 피해 내용을 좀 더 철저하게 파악하는 과정에서 신고가 늦어졌다"며 "사건을 축소하려는 의도는 전혀 없었다"고 밝혔다.

현재 과기정통부와 개인정보보호위원회 경찰 등 관계 기관은 민관합동조사단을 구성해 정확한 피해 규모와 해킹 주체 등을 조사하고 있다. 유상임 과기정통부 장관은 조사 결과가 나오기까지 한두 달 정도 걸릴 것으로 예상했다. 

SK텔레콤은 자체적으로 추가 피해 방지를 위해 유심 정보 악용을 차단하는 '유심보호서비스'를 고객에게 제공 중이며 해킹 사실 공지 후 하루 만에 7만2000여 명이 가입하는 등 이용자들의 불안감이 큰 상황이다.