정보 유출 사고 늦게 신고해 비판받는 SKT...'심 스와핑' 막고자 안간힘

SKT 이용자들, 유심 유출 사고 안내 지연에 불만
'유심보호서비스' 가입 적극 유도...101만 명 신규가입

22일 서울 중구 SK텔레콤 본사. 뉴시스

2,300만 명의 가입자를 보유한 이동통신사 SK텔레콤이 가입자 개인을 식별할 수 있는 유심(USIM) 관련 정보가 유출되는 해킹 피해를 입었다. 피해 사실을 알고도 이를 알리는 시점이 규정보다 늦어진 사실이 알려지면서 고객들의 불만이 커지고 있다. 특히 빠져나간 정보를 다른 유심에 복제하고 휴대폰을 통해 정보를 빼앗는 '심 스와핑' 방식으로 2차 피해 가능성까지 나오고 있다.

24일 정보기술(IT)업계에 따르면, SK텔레콤은 20일 과학기술정보통신부 산하 한국인터넷진흥원(KISA)에 해킹 공격 피해를 입은 사실을 신고했다. 가입자 정보를 관리하는 서버에 악성코드가 설치돼 정보 일부가 유출된 것을 확인했기 때문이다. 정확한 유출 원인과 규모 등은 조사 중이지만 빠져나간 정보는 유심에 관련된 이동통신 가입자 식별번호(IMSI)와 휴대폰 고유 식별번호(IMEI), 유심 인증키 등으로 알려졌다. SKT는 유출 가능성을 안 뒤 악성코드를 즉시 없애고 해킹 의심 장비도 격리 조치했다고 설명했다.

다만 이날 국회 과학기술정보방송통신위원회 소속 최수진 국민의힘 의원이 제출받은 자료에 따르면 SKT가 실제 해킹 공격을 확인한 시점은 18일이었다. 침해 사고를 확인하면 24시간 내 신고해야 한다는 정보통신망법상 규정을 어겼다고 볼 수 있다. SKT 관계자는 "사안의 중대성을 고려해 침해 사고 신고에 필요한 최소한의 발생 원인과 피해 내용을 철저하게 파악하다 신고가 늦어진 것이며 고의적 지연 의도는 없었다"고 해명했다.

가입자들은 불만을 쏟아내고 있다. 피해 사실을 공지한 것은 22일 오전으로, 사고 확인 시점보다 사흘 뒤였다. 이마저도 홈페이지 공지와 언론 보도를 통해 알리면서 특히 디지털 취약 고객의 경우 피해에 대비하기 어렵다는 지적이 나왔다. 회사 관계자는 "모든 고객에게 문자를 보내 알리고 있지만 가입자가 많아 시간이 필요하다"며 "디지털 취약 고객에게는 114 고객센터에서 전화를 걸어 안내할 계획"이라 밝혔다.

SKT "모든 고객에 문자... 취약 고객엔 직접 전화 걸어 안내 중"

게티이미지뱅크

이번에 유출된 정보의 2차 피해 가능성을 배제할 수 없다는 게 업계의 관측이다. 특히 2022년 초 많은 피해를 가져왔던 '심 스와핑'이 걱정거리다. 이는 유심 정보를 빼내 만든 복제 유심 칩으로 휴대폰을 불법 개통한 뒤 이를 바탕으로 추가 개인 정보를 탈취해 범죄에 쓰는 방식이다.

SKT도 이런 우려를 막으려 △불법 유심 기기 변경과 비정상 인증 시도를 차단하고 △피해 의심 징후가 발견되면 즉각 이용을 정지했다. 또 이용자들에게는 '유심보호서비스'에 가입해 달라고 안내하고 있다. 이 서비스는 별도 확인 없이 유심을 끼우는 것만으로 휴대폰을 바로 개통할 수 없게 하는 서비스라 복제 유심으로 인한 피해를 막으며 무료로 제공된다. SKT에 따르면 23일 하루에만 유심보호서비스에 101만 명이 신규 가입했다.

다만 이 서비스에 가입하려면 자동로밍 서비스를 해지해야 한다. 해외로 나갈 땐 현지에서 선불 유심을 사거나 휴대용 와이파이(WIFI) 기기를 쓰는 등 다른 접속 방법을 찾아야 할 것으로 보인다. SKT 측은 이용자 보호를 위해 이 서비스의 가입 절차를 간소화하고 SKT망을 쓰는 알뜰폰 14개사 고객에게도 같은 서비스를 제공한다고 밝혔다.

인현우 기자 inhyw@hankookilbo.com