[포쓰저널=장성열 기자] 4월 해킹 사태로 개인정보가 대량 유출된 SK텔레콤이 사상 최대 규모의 개인정보 보호법 위반 과징금을 부과받았다.

개인정보위원회는 27일 전체회의를 열고 개인정보보호 법규를 위반한 SK텔레콤에 과징금 1347억9100만원과 과태료 960만원을 각각 부과했다고 28일 밝혔다.

과징금 규모는 2020년 개인정보위가 출범한 이후 부과한 과징금 중 역대 최대다.

개보위 조사 결과 SKT는 암호화, 백신 설치, 보안 업데이트 등 기본적인 보안 조치에 소홀했고 개인정보보호책임자(CPO)의 관리·감독 권한도 제한적이었던 것으로 드러났다.

개보위는 4월 22일 SKT가 비정상적 데이터 외부 전송 사실을 인지하고 유출 신고해옴에 따라 조사에 착수했다. 사건의 중대성을 감안하여 신고 당일 한국인터넷진흥원(원장 이상중, KISA)과 함께 집중조사 태스크포스(TF)를 구성해 유출 관련 사실관계, 개인정보 보호법령 위반여부 등을 중점 조사했다.

개보위에 따르면 이번 해킹사고로 알뜰폰을 포함한 SKT의 LTE·5G 서비스 전체 이용자 2324만4649명의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki·OPc) 등 25종의 정보가 유출된 것으로 확인됐다.

휴대전화번호를 기준으로 한 유출 규모는 약 2696만건으로 파악됐으나 법인·공공회선·다회선 등을 제외한 수가 이용자 수로 산정됐다.

해커는 2021년 8월 SKT 내부망에 처음 침투해 다수 서버에 악성 프로그램을 설치했다. 2022년 6월에는 통합고객인증시스템(ICAS) 내에도 악성프로그램을 설치해 추가 거점을 확보했다.

이후 올해 4월 18일 홈가입자서버(HSS) 데이터베이스(DB)에 저장된 이용자 개인정보 9.82GB를 외부로 유출했다.

개보위는 이용자 전체의 개인정보가 외부로 빠져나간 데에는 SKT가 기본적인 보안 조치를 제대로 하지 않은 데다 관리도 소홀했던 게 따른 것으로 결론지었다.

개보위에 따르면 SKT는 인터넷·관리·코어·사내망을 동일한 네트워크로 연결해 운영해 국내외 인터넷망에서 SKT 내부 관리망 서버로 접근을 제한 없이 허용했다.

또 침입탐지 시스템의 이상 행위 로그도 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치를 소홀히 했다.

특히 SKT는 2022년 2월 해커가 HSS 서버에 접속한 사실을 확인하고도 비정상 통신 여부나 추가 악성프로그램 설치 여부, 접근통제 정책의 적절성 등을 점검하지 않아 사고를 막을 기회를 놓쳤다.

SKT는 시스템 내 서버에 대한 접근권한 관리도 크게 부족했다. 약 2365개의 서버의 계정정보 약 4899개를 저장된 파일을 관리망 서버에 암호 설정 등 제한 없이 저장·관리했다. HSS에서도 비밀번호 입력 등 인증 절차 없이 개인정보를 조회할 수 있도록 운영했다.

해커는 획득한 계정정보를 활용해 관리망 서버에 접속, 악성프로그램을 설치하고 HSS DB 내 개인정보를 손쉽게 조회·추출했다.

SKT는 기본적인 보안 업데이트도 하지 않아 유출 사고에 무방비로 노출됐다.

해커가 악성프로그램(BPFDoor) 설치에 활용한 운영체제(OS) 보안 취약점(DirtyCow)은 이미 9년 전인 2016년 10월 보안 경보가 발령됐고 보안 패치도 공개된 사항이었다.

SKT는 이를 알았으나 같은 해 11월 해당 취약점을 가진 OS를 설치했고 올해 4월 유출 당시까지도 보안 업데이트를 하지 않았다.

2020년부터 각종 상용 백신 프로그램이 관련 취약점의 실행을 탐지하고 있었으나 SKT는 이를 설치하지 않아 유출 사고를 초래했다. 가입자 인증과 이동통신 서비스 제공에 필수 인증정보인 유심 인증키(Ki) 2061만4363건을 암호화하지 않았다.

이로 인해 해커는 HSS DB 등에 저장해 유심 복제에 사용될 수 있는 유심 인증키 원본을 그대로 확보할 수 있었다.

SKT는 사내 개인정보보호책임자(CPO)의 역할을 IT 영역에 한정했다. 유출 사고가 발생한 인프라 영역은 CPO가 개인정보 처리 실태조차 파악하지 못했던 것으로 드러났다.

SKT는 개인정보가 유출된 이용자에게도 유출 사실 통지를 지연했다. 개인정보보호 법규는 72시간 내 개인정보가 유출된 이용자를 대상으로 유출 사실을 통지하도록 규정했다. SKT는 이행하지 않았다.

개보위가 5월 2일 즉시 유출통지를 할 것을 의결했으나 SKT는 같은 달 9일 '유출 가능성'에 대해서만 통지했다. 개인정보위는 7월 28일이 돼서야 '유출 확정' 통지를 해 개인정보보호법에서 정한 최소한의 의무조차 이행하지 않았다고 지적했다.

개보위는 SKT에 과징금·과태료 제재와 함께 유출 사고 재발 방지를 위해 이동통신 서비스 전반의 개인정보 처리 현황을 면밀히 파악해 안전조치를 강화하고 CPO가 회사 전반의 개인정보 처리 업무를 총괄할 수 있도록 거버넌스 체계를 정비하라고 시정명령을 했다.

개보위는 T World 등 일부 고객관리시스템에 대해서만 획득한 개인정보보호관리체계(ISMS-P) 인증 범위를 통신 이동통신 네트워크 시스템으로 확대하여 회사 시스템 전반의 개인정보 안전성 확보조치 수준을 제고하도록 개선을 권고했다.

이번 조사·처분은 단순히 특정 기업에 대한 제재를 넘어, 우리 사회 전반에 개인정보 보호의 중요성을 다시 한번 환기시키는 계기가 될 것으로 보고 있다고 개보위는 밝혔다.

SKT는 개인정보위 제재와 관련해 "이번 결과에 무거운 책임감을 느끼며, 모든 경영활동에 있어 개인정보 보호를 핵심 가치로 삼고 고객정보 보호 강화를 위해 만전을 기할 것"이라고 밝혔다.

고학수 개인정보위원장은 "이번 사건을 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력의 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바란다"며 "나아가 데이터 경제시대 CPO와 전담조직이 기업경영에서 차지하는 역할과 중요성을 제고하여 개인정보 보호 체계가 한 단계 강화되는 계기가 되길 바란다"고 말했다.

개보위는 SKT 해킹사태와 같은 유사사례가 발생하지 않도록 대규모 개인정보 처리자에 대한 관리·감독을 더욱 강화하고 개인정보 안전관리 체계 강화방안을 마련해 9월 초 발표할 예정이다.

SKT 관계자는 개보위 결정에 대해 "유감"이라며 "개보위 의결서가 도착한 후 의사결정을 하게될 것"이라고 했다.