“불안해 죽겠다, 160만명 떠는 중” 해킹당한 SKT, 돈까지 내라니…터질 게 터졌다

[SK텔레콤 홈페이지 캡처]

[헤럴드경제=권제인·차민주 기자] #. SK텔레콤 사용자 백모(29)씨는 최근 해킹 사건으로 개인정보 유출을 우려해 유심(USIM)을 교체했다. 백 씨는 SKT의 과실로 문제가 발생한 만큼 유심 교체 비용을 SKT가 부담할 것으로 기대했지만, 대리점에서는 7700원을 지불하라는 답이 돌아왔다.

백 씨는 “대리점에서 SKT가 추후 유심 교체 비용을 지원하더라도, 공지 전에 교체한 경우는 지원이 어려울 수 있다고 말했다”며 “지금 당장 유심을 변경하고 싶은데, SKT가 지원조차 안 해준다니 불합리하다”고 불만을 토로했다.

이용자 유심(USIM) 정보가 해킹으로 유출된 뒤 SKT의 대처를 두고 불만이 쏟아지고 있다. 사건을 인지한 후 최소 3일 뒤에야 이용자에게 유출 사실을 알렸을 뿐만 아니라, 후속 대책 역시 부족하다는 지적이 나온다.

SK텔레콤이 이용자 개인정보에 대한 해킹 공격을 받은 것과 관련, 관계 당국이 비상대책반을 구성해 조사에 착수했다. 최근 서울 중구 SK텔레콤 본사 모습 [연합]

24일 온라인 커뮤니티 등에서는 SKT가 항의 메일을 보냈다는 인증 글이 속출하고 있다. 이용자들은 SKT가 19일 해킹 의심 정황을 발견했다고 밝혔지만, 고객 공지는 22일에야 이뤄졌다며 불만을 토로하고 있다.

또한, SKT 홈페이지와 ‘티 월드(T world)’에만 공지한 뒤 안내 문자가 늦어지고 있는 점도 ‘늑장 대응’이라고 지적하고 있다. SKT는 23일에야 안내 문자를 순차적으로 전송한다고 밝혔지만, 2300만명 이용자에게 한 번에 발송할 방법이 없어 이달을 넘길 수 있다고 설명했다.

한 X(엑스·옛 트위터) 이용자는 “광고 문자는 쉽게 보내면서 해킹 공지는 문자로 보내지 않고 티 월드 앱에 들어가야만 볼 수 있도록 설정해 뒀다”며 “함께 이메일을 보내 유심칩 무상 변경을 요구하자”고 글을 올렸다. 해당 게시글은 이날 기준 1만3000회 재개시(RT)됐다.

[123RF]

SKT는 사고 직후부터 ‘유심보호서비스’를 고객 지원책으로 내놓고 있다. 유심보호서비스는 타인이 고객의 유심 정보를 복제 또는 탈취하여 다른 기기에서 통신 서비스에 접속하는 것을 차단해 주는 서비스다. 이날 8시 기준 161만명이 해당 서비스에 가입했다.

SKT 관계자는 “피해 규모 특정이 우선으로, 조사 결과가 나와야 후속 대책을 논의할 수 있다”며 “현재로선 유심보호서비스를 가입하는 것이 가장 안전하다”고 말했다.

다만, 해당 서비스는 해외 로밍 시 사용 불가능해 유심 교체가 근본적인 해결책이라는 지적이 나온다. 김명주 서울여대 정보보호학과 교수는 “유심보호서비스는 해외 로밍과 동시 사용 불가능해 유심을 바꾸는 것이 가장 안전한 조치”라며 “SKT가 1위 통신사로서의 위상을 유지하려면 보안 관련 비용을 투자로 보고 유심 무상 교체 등을 적극 지원해야 한다”고 강조했다.

염흥렬 순천향대학교 정보보호학과 교수는 “유심보호서비스는 단기적인 대책으로 정보 유출 규모나 피해 상황이 파악되면 추가적인 보호조치가 필요하다”며 “유심이 복제되는 등 최악의 경우라면 유심을 무상으로 교체하는 게 근본적인 안전 조치”라고 설명했다.

유영상 SK텔레콤 최고경영자(CEO) [SK텔레콤 제공]

한편, SKT가 공지보다 하루 빠른 18일에 고객 정보 탈취를 인지해, 사고 인지 24시간 이내에 신고해야 하는 규정을 위반했다는 의혹도 제기됐다. 국회 과학기술정보방송통신위원회 소속 최수진 의원(국민의힘)이 SKT로부터 제출받은 자료에 따르면 이 회사는 18일 오후 6시 의도치 않게 사내 시스템 데이터가 움직였다는 사실을 최초 인지했고, 오후 11시 악성코드를 발견해 해킹 공격을 받았다는 사실을 내부 확인한 것으로 파악됐다.

최 의원실에 보고된 SK텔레콤의 한국인터넷진흥원(KISA) 보고 시점은 20일 오후 4시 46분으로 사건의 최초 인지 시점인 18일 오후 6시와 45시간 차이가 난다. 정보통신망법은 정보통신서비스 제공자가 침해사고가 발생한 것을 알게 된 때로부터 24시간 이내에 침해사고의 발생 일시, 원인 및 피해 내용 등을 과학기술정보통신부장관이나 KISA에 신고해야 한다고 규정하고 있다.