[비즈니스포스트] SK텔레콤 서버에서 25종 달하는 악성코드가 무더기로 추가 발견된 것으로 전해지면서, 이번 해킹 사고의 실제 피해 규모가 초기 예상보다 훨씬 클 것이란 관측이 나온다. 

SK텔레콤의 가입자 정보보호 관리가 심각하게 부실하다는 책임론이 거세지면서 정부가 SK텔레콤에 대한 기간통신사업자 등록 취소도 적극 검토해야 한다는 지적이 나온다.
 
16일 통신 업계와 정부 관계자 취재를 종합하면 과학기술정보통신부 산하 민관합동조사단은 SK텔레콤 서버를 대상으로 한 해킹 사고 조사 과정에서 최근 추가로 25종의 악성코드를 새롭게 발견한 것으로 전해졌다.

민관합동조사단은 지난 4월29일 1차 조사에서 악성코드 4종을 발견했고, 이후 이달 3일 악성코드 8종을 추가로 발견했다고 밝혔다. 
 
이들 악성코드는 모두 SK텔레콤이 가입자 정보를 분산 관리하기 위해 운용 중인 HSS 서버 3대에서 발견된 것으로 파악됐다. HSS는 이동통신 가입자의 인증과 위치 정보, 서비스 제공 등을 담당하는 핵심 서버로, 이 서버에 악성코드가 침투했다는 것은 가입자 기초 정보 자체가 심각하게 위협받았다는 의미로 해석된다.

여기에 이번에 25종의 새로운 악성코드가 추가 발견되면서 현재까지 파악된 악성코드는 총 37종에 이른다.

이번에 추가로 발견된 악성코드는 민관합동조사단이 ‘더 있는 것 아니냐’는 문제 제기에 따라 진행된 재점검 과정에서 확인된 것으로 보인다.

강도현 과학기술정보통신부 2차관은 지난 8일 국회 과학기술정보방송통신위원회 청문회에서 “현재까지 3만3천 대의 SK텔레콤 서버를 3차례 조사했다”며 “추가 감염이 조금 더 있다”고 밝힌 바 있다.

유영상 SK텔레콤 대표이사 사장은 4월30일 국회 과방위 증인으로 나와 “통신사 역사상 최악의 해킹 사고라는 데 동의하느냐”는 의원 질의에 “그렇다”고 답변하기도 했다.

이에 따라 SK텔레콤 내부에 여전히 탐지되지 않은 악성코드가 더 존재할 가능성도 완전히 배제할 수 없다는 지적이 나온다.

특히 이번 해킹을 통해 유출된 개인정보 범위가 당초 조사 결과에서 발표된 수준보다 훨씬 광범위할 수 있다는 가능성도 제기된다.

개인정보보호위원회는 지난 8일 HSS에 저장돼 있던 이용자 휴대전화번호, IMSI(가입자식별번호), 유심 인증키 및 기타 유심 관련 정보 등 총 25종이 유출됐다고 밝혔다.

‘한국 전산학 박사 1호’로 알려진 문송천 한국과학기술원(KAIST) 명예교수도 비즈니스포스트와 통화에서 “해커가 유심(USIM) 서버뿐 아니라 다른 주요 서버에도 여러 개의 백도어를 설치했을 가능성이 크다”며 “아직 탐지되지 않은 악성코드가 더 존재할 수 있다”고 말했다.

황석진 동국대학교 국제정보보호대학원 교수는 “악성코드가 많다는 것은 해킹 시도가 장기간에 걸쳐 지속됐다는 의미”라며 “유심(USIM) 데이터뿐 아니라 가입자 정보 등 거의 모든 주요 데이터가 유출됐을 가능성이 높다”고 진단했다.

임종인 고려대학교 정보보호대학원 교수도 “전체 피해 규모가 파악되려면 몇 달이 걸릴 수도 있다”며 “변종 악성코드는 정교하기 때문에 탐지하기도 어렵다”고 말했다.

이에 따라 정부가 SK텔레콤에 부과할 과징금 규모 역시 당초 전망보다 크게 늘어날 수 있다는 관측이 나온다. 

개인정보보호법상 매출의 최대 3%까지 부과 가능한 과징금 상한이 적용될 경우 SK텔레콤은 5천억 원이 넘는 과징금을 부과받을 수 있을 것이란 관측이 나온다. 

또 가입자들 사이에서는 위약금 없이 다른 통신사로 번호이동을 허용해 달라는 요구와 함께 개인정보 유출에 따른 실질적 보상을 요구하는 목소리도 한층 커지고 있다. 실제로 일부 가입자들은 집단소송에 착수한 것으로 알려졌다.

황 교수는 “과징금은 피해 금액이 발생하지 않더라도 유출 규모를 감안해 역대 최고가 되지 않을까 싶다”며 “손해배상은 피해발생이 아직까지 없기 때문에 정신적 위자료를 어떻게 청구할 것인지가 이슈가 될 것”이라고 말했다.
 
일각에서는 SK텔레콤이 기간통신사업자로서 이용자 보호라는 중대한 책임을 다하지 못했기 때문에 정부가 기간통신사업자 자격을 박탈해야 한다는 지적까지 나온다. 

현행 전기통신사업법 제20조 제1항 제2호에 따르면 과학기술정보통신부 장관은 기간통신사업 등록 시 이용자 보호 등을 위한 조건을 부과할 수 있으며, 이 조건을 이행하지 않을 경우 등록의 전부 또는 일부를 취소하거나 최대 1년 범위 내에서 사업 정지를 명할 수 있다고 규정하고 있다.

황석진 교수는 “SK텔레콤은 사업 전반에 대해 재평가를 받아야 하며, 신규 가입자 모집 중단 기간을 더 늘리고, 보안 문제가 완전히 해결될 때까지 자구 노력을 기울여야 한다”며 “SK텔레콤은 이번 일을 계기로 회사 존립 여부를 걱정할 만큼 경영 리스크가 상당히 커질 수 있다”고 말했다.

한편 SK텔레콤 관계자는 추가 악성코드 발견 여부에 대해 “민관합동조사단에서 조사를 진행하고 있어 회사 측에서 밝히기는 어렵다”고 말했다. 조승리·김재섭 선임 기자