서버 해킹으로 가입자 유심정보가 유출된 SK텔레콤(SKT)이 통신3사 중 유일하게 핵심정보인 ‘가입자 인증키’를 암호화하지 않은 것으로 드러나 국회에서 질타를 받았다. SKT는 이용자들의 번호이동 위약금 면제 요구에 대해 큰 손실이 예상된다며 난색을 표했다.

◆‘통신지연’ 이유 대다 “암호화 미진” 시인 = 국회 과학기술정보방송통신위원회 소속 노종면 더불어민주당 의원은 8일 열린 SKT 해킹 청문회에서 이 사실을 밝히며 “SKT만 유심 비밀번호에 해당하는 인증키를 암호화하지 않은 것은 선량한 관리자의 주의 의무를 다하지 않은 상황에 해당한다”고 지적했다.

류정환 SKT 부사장은 “암호화를 풀었다가 전화가 끝나면 다시 암호화를 하는 데서 지연이 발생한다”며 ‘통신지연’ 때문에 암호화를 하지 않았다고 해명했지만 KT와 LG유플러스는 이를 모두 암호화하고 있어 설득력이 떨어진다는 지적이다.

유상임 과학기술정보통신부 장관은 “SKT가 유심 인증키를 암호화하지 않은 것은 소홀했다고 생각한다”며 “가급적 (인증키를) 암호화하는 것이 보다 보안에 유리한 것이므로 그렇게 지도하겠다”고 했다.

이에 류 부사장은 “암호화 부분에 미진했다”며 “여러 가지 경우의 수를 고려해 방어장치를 마련 중”이라고 했다.

이날 유 장관은 SKT에서 단말기 식별번호(IMEI)가 빠져나가지 않았다고 100% 확신할 수 있느냐는 노 의원 질의에 “아직 유출되지 않았다는 것은 사실이지만 가능성이 전혀 없다고 확신하지는 못한다”고 대답했다.

이어 노 의원이 “IMEI가 유출됐을 경우 유심보호서비스가 만능이라고 확신할 수 없는 것 아닌가”라고 묻자 유 장관은 “그렇다”고 대답했다.

반면 같은 질문에 대해 유영상 SKT 대표는 “현재 상태로서는 100% 안전하다”고 자신했다.

◆“기업보호 논리 일관” 비판 = 이날 과방위원들은 해킹 사태로 통신사를 바꾸려는 고객들의 위약금 면제가 어렵다는 입장을 밝힌 SKT를 질타했다.

유영상 SKT 대표는 청문회에서 “(위약금을 면제하면) 한 달 기준 최대 450만~500만명까지 (번호이동이) 가능하다고 생각한다”며 “그럴 경우 위약금과 매출까지 고려하면 3년간 7조원 이상의 손실이 예상된다”고 말했다.

그는 위약금 면제에 대해 “과학기술정보통신부 유권 해석을 참조해 이사회, 고객신뢰회복위원회와 상의하겠지만, 파장이 큰 부분이어서 결정에 어려움이 있다”며 사실상 거부 쪽에 무게를 실었다.

이에 이훈기 민주당 의원은 “1위 통신사가 이렇게 큰 대형 사고를 쳐놓고 손실 수천억원 때문에 위약금 면제를 못 하겠다고 하는데 소탐대실하지 말라”고 비판했다.

같은 당 이정헌 의원도 “어제 SK그룹 최태원 회장이 사과 기자회견을 했는데 진정성이 있는지 모르겠다”며 “고객 우선이 아닌, SKT의 손실과 존립 기반 붕괴만을 우려하고 있어 국민들은 여전히 분노한다”고 말했다.

박정훈 국민의힘 의원도 “지금 SKT는 위약금 문제에 있어 철저하게 기업을 보호하려는 논리로 일관한다”며 “‘너희들이 피해를 입증하면 보상해주겠다’는 논리여서 기업 이미지를 더욱 실추시킨다”고 지적했다.

시민단체의 비판도 나왔다. 이날 참여연대는 논평을 내고 “SKT는 별도의 설명자료를 통해 위약금 면제가 어려운 이유로 △회복이 어려운 수준의 손실 △이용자 간 형평성 문제 △사회 전반의 신뢰와 시장 질서 등을 밝혔지만 모두 납득하기 어렵다”며 SKT의 허술한 초동대응을 원인으로 꼽았다.

참여연대는 “SKT는 말로만 책임을 운운하지 말고, 약관대로 위약금을 즉시 면제하라”며 면제 거부시 소비자 분쟁조정을 신청하겠다고 밝혔다.

소비자주권시민회의도 성명을 내고 “유심보호 서비스에 가입하지 않을 경우 발생한 피해에 대해서 전액 보상하지 않는다는 방침은 사업자가 해킹을 당해 발생한 피해임에도 소비자에게 책임을 물을 수 있다는 의미”라며 “이번 사태의 경우 귀책 사유가 분명함에도 소비자에게 그 책임을 전가하는 일은 정상적인 기업의 태도가 아니다”라고 비판했다.

한편 개인정보보호위원회는 이날 “유출 경로가 된 (SKT의) 주요 시스템에 악성 프로그램 방지를 위한 보안 프로그램(백신)이 설치되지 않는 등 개인정보 관련 기술적·관리적 조치가 미흡했다고 판단했다”고 밝혔다. 이어 “1차적으로 침해 사고가 있었던 서버 외 휴대전화 개통 시스템, 인증 시스템 등 주요 개인정보 처리 시스템을 대상으로 안전조치 의무 준수 여부에 대한 전수조사를 진행 중”이라고 했다.

이재걸 기자 claritas@naeil.com