유심해킹 SKT, 과징금 1348억...역대 최대

유영상 SK텔레콤 대표가 지난 5월 25일 진행된 고객보호 조치 강화 설명회에서 사과 인사를 하고 있다.

지난 4월 유심정보를 해킹 당한 SK텔레콤에 1350억원의 과징금이 부과됐다.

28일 개인정보위원회에 따르면 전날 전체회의를 열어 SK텔레콤에 대해 과징금 1347억9100만원, 과태료 960만원을 부과하기로 의결했다.

SKT에 부과된 과징금 규모는 개인정보위가 부과한 역대 최대 규모다. 개인정보위는 해킹 사고 보고 직후인 지난 4월 22일부터 한국인터넷진흥원(KISA)과 14인으로 구성된 태스크포스(TF)를 구성해 SKT의 유심 정보 유출 건에 대해 조사해 왔다.

개인정보위는 현장조사, 서면조사, 디지털 증거수집 등을 통해 SK텔레콤의 주요 개인정보처리시스템을 대상으로 유출 여부, 유출 규모, 보호법상 안전조치의무 준수 여부를 조사해 왔다.

조사 결과 LTE·5G 서비스 전체 이용자와 알뜰폰 이용자 2324만4649명의 전화번호, 가입자식별번호(IMSI), 유심 인증키 등 25종의 정보가 유출된 사실을 확인했다.

개인정보위는 "이번 사고가 SKT의 기본적인 보안 조치 미비와 관리 소홀로 인해 발생한 것으로 확인됐다"며 "기본적인 접근통제조차 이행하지 않아 인터넷과 내부망 사이의 보안 운영 환경이 해커의 불법적인 침입에 매우 취약한 상태로 관리·운영되고 있었다"고 했다.

특히 인터넷·관리·코어·사내망을 동일한 네트워크로 연결하여 운영하면서 국내외 인터넷망에서 SK텔레콤 내부 관리망 서버로의 접근을 제한없이 허용했다고 문제점을 지적했다.

개인정보위는 "관리망 서버는 이번 유출 사고가 발생한 가입자인증시스템(HSS)과의 상호접속이 불필요함에도 이를 허용했다"며 "이를 통해 해커가 HSS까지 접속해 데이터베이스(DB) 내 저장된 유심 정보 등을 외부로 전송할 수 있었다"고 했다.

이어 SK텔레콤이 침입탐지 시스템의 이상행위 로그를 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치도 소홀히 했다고 설명했다. 개인정보위는 "2022년 2월 해커가 HSS 서버에 접속한 사실을 확인했음에도 비정상 통신, 추가 악성프로그램 설치 여부 등 점검하지 않아 유출 사고 방지 대책이 미비했다"고 밝혔다.

개인정보위는 법령에서 정한 72시간 내 유출된 이용자를 대상으로 유출 사실을 통지하지 않았다는 점도 제시하며 이에 과태료 960만 원을 부과하기로 결정했다고 밝혔다.