2025년 7월 4일, 과학기술정보통신부는 SK텔레콤의 침해사고에 대한 민관합동조사단의 최종 조사결과를 발표했다. 이번 사고는 SK텔레콤의 서버가 악성코드에 감염되어, 유심 가입자 식별번호 2,696건(총 9.82기가바이트)이 외부로 유출된 사건이다.
최초 침투는 2021년 8월, 시스템관리망 내 인터넷 연결 가능한 서버에 악성코드가 설치되면서 시작됐다. 당시 서버에는 여러 시스템의 계정정보가 평문으로 저장되어 있었고, 공격자는 이를 활용해 다른 서버에 추가 침투했다. 이후 2022년 6월부터 고객관리망으로 이동한 공격자는 추가 악성코드를 설치하였고, 2025년 4월 18일 음성통화 인증서버에 저장된 유심정보를 외부로 유출하였다.
조사단은 SK텔레콤이 서버 간 로그인 계정정보를 안전하게 관리하지 않았으며, 악성코드가 감염된 서버 중 일부는 비밀번호가 평문으로 저장되어 있었다고 밝혔다. 또한, 유심 인증키(Ki)와 같은 중요한 정보가 암호화되지 않은 상태로 저장되었고, 이는 국제기구 GSMA의 권고 기준을 위반한 것이다.
2022년 2월에 악성코드 감염이 의심되는 정황이 포착되었음에도 불구하고, SK텔레콤은 정보통신망법상 신고 의무를 이행하지 않았음이 밝혀졌다. 2024년 4월 침해사고 이후 일부 로그기록도 제대로 확보되지 않아 공격자의 접속 여부를 확인할 수 없었다. 해당 법령 위반으로 과학기술정보통신부는 과태료 부과 및 수사기관 수사 의뢰를 예고했다.
공급망 보안 측면에서도 문제는 있었다. SK텔레콤은 협력업체로부터 공급받은 소프트웨어를 검증 없이 88대의 서버에 설치했으며, 해당 소프트웨어에는 악성코드가 포함되어 있었다. 다만, 해당 악성코드는 실행된 정황은 발견되지 않았다.
SK텔레콤은 정보보호 최고책임자(CISO)의 업무 영역이 네트워크 시스템에는 미치지 않고 정보기술 영역에 국한되어 있었으며, 정보보호 체계가 전사적으로 작동하지 않았다고 조사단은 밝혔다. 방화벽 로그는 4개월만 보관되어 있어 침해사고 분석에 어려움이 있었고, 자산의 종류나 폐기 여부 등을 체계적으로 관리하지 못해 전수 점검에도 어려움을 초래했다.
정보보호 인력 및 예산 역시 부족했다. 2024년 기준으로 SK텔레콤 및 자회사 SK브로드밴드를 포함한 정보보호 인력은 가입자 10만 명당 15명이었고, 투자액은 37.9억 원으로, 이는 KT와 LG유플러스보다 낮은 수치였다.
과학기술정보통신부는 이 같은 조사 결과를 바탕으로 SK텔레콤이 자사 이용약관 제43조의 ‘회사의 귀책사유’에 해당된다고 판단하였다. SK텔레콤은 안전한 통신서비스 제공을 위해 유심정보를 보호해야 할 의무가 있었으나, 이를 이행하지 못한 책임이 명확히 드러났다고 정부는 결론 내렸다.
법률 자문기관 다수 역시 SK텔레콤의 과실이 인정되고, 안전한 통신서비스 제공 의무를 위반한 만큼, 위약금 면제 규정 적용이 가능하다고 의견을 제시하였다.
과학기술정보통신부는 SK텔레콤에 재발방지 대책을 마련하여 7월 중 제출하도록 요구하고, 8월부터 10월까지 이행 여부를 점검한 뒤, 11월부터 12월까지 시정조치를 실시할 예정이다. 또한, 국회와 협력하여 민간 정보보호 투자 확대 및 관리체계 거버넌스 강화를 위한 제도 개선을 추진할 계획이다.
유상임 과기정통부 장관은 이번 사고가 통신업계뿐 아니라 전반적인 네트워크 기반 산업에 경종을 울리는 계기가 되었다며, 향후 인공지능 시대에 더욱 지능화될 사이버위협에 대비해 보안 체계를 전면 개편하겠다고 밝혔다.
댓글
0