유영상 "위약금 면제땐 3년 손실 7조에 달할 것"

국회 SKT 보안사고 청문회

한달간 최대 500만명 이탈 예상
백신프로그램 미설치도 쟁점으로
SKT "세계 표준서도 의무 아냐"

9일까지 유출내역 개별 통보

유영상 SK텔레콤 대표(오른쪽)가 8일 국회 과학기술정보방송통신위원회가 연 ‘SK텔레콤 해킹 관련 청문회’에서 의원들 질문에 답하고 있다. /뉴스1

SK텔레콤의 유심 정보가 담긴 가입자 정보 서버(HSS)에 악성 프로그램 방지를 위한 보안 프로그램(백신)이 설치되지 않았다는 조사 결과가 나왔다. 정부는 이로 인해 해커 침입을 막지 못했는지 등에 관한 인과관계를 조사할 방침이다. SK텔레콤이 보안 조치를 제대로 취했는지는 향후 과징금을 결정할 핵심 사안이다.

◇백신 없어서 해킹당했나

개인정보보호위원회는 SK텔레콤의 유심 정보 유출 경로가 된 주요 시스템에 백신이 설치되지 않았던 사실을 확인했다고 8일 발표했다. 과학기술정보통신부와 한국인터넷진흥원(KISA) 등을 중심으로 꾸려진 민관합동조사단은 리눅스 기반 악성코드 ‘BPF도어(BPFdoor)’ 4종을 이번 해킹 사태의 주범으로 지목했다. BPF도어는 정찰부터 권한 획득, 정보 탈취 등 사이버 공격 과정을 자동화한 악성 프로그램이다.

개인정보위는 가입자 정보 서버에 백신이 없었기 때문에 악성코드가 활동할 수 있었는지를 따져보고 있다. 백신 미설치가 개인정보보호법 위반인지도 검토 중이다. 개인정보의 안전성 확보 조치 기준 고시에 따르면 개인정보처리자는 악성 프로그램 등을 방지·치료할 수 있는 보안 프로그램을 설치하고 운영해야 한다. 개인정보위는 침해 사고가 있었던 가입자 정보 서버를 비롯해 휴대폰 개통·인증·과금 등 주요 개인정보 처리 시스템을 대상으로 안전조치 의무 준수 여부를 전수조사 중이다.

법을 지키지 않았다고 결론이 나오면 개인정보 유출에 따른 과징금이 늘어날 수 있다. 이에 류정환 SK텔레콤 네트워크 인프라 센터장은 이날 국회에서 열린 청문회에서 “글로벌 이동통신표준개발기구인 3GPP 표준에도 백신 설치 의무 등은 없다”면서도 “해당 서버에 자체적인 보안 조치를 했지만 그 부분이 이번에 문제가 된 것은 맞다”고 해명했다.

◇“회사 존립 기반 흔들 수도”

전날 최태원 SK그룹 회장이 대국민 사과에 나서고, 복제폰 방지를 위한 유심보호서비스 가입이 100%(해외 체류자 제외) 이뤄지면서 극심했던 불안과 불만은 사라졌다. 하지만 SK텔레콤은 과징금, 위약금 면제, 집단소송 등 막대한 재무적 후폭풍에 휘말릴 가능성이 높다.

이날 국회 과학기술정보방송통신위원회가 연 ‘SK텔레콤 해킹 관련 청문회’에선 위약금 면제 이슈가 불거졌다. 유영상 SK텔레콤 대표는 위약금 면제 논의가 길어지고 있다는 지적에 “법적 문제, 고객 간 형평성, 재무적 문제 등 파장이 커질 부분이 있다”며 “위약금 면제가 시행되면 회사의 존립 기반이 흔들릴까 우려된다”고 말했다.

통신업계에 따르면 해킹 사고 발생 이후 지난 7일까지 SK텔레콤의 순감 고객은 26만2890명으로 집계됐다. 유 대표는 “위약금 면제가 시행되면 열 배 이상인 250만 명의 이용자가 떠날 것”이라며 “한 달로 범위를 넓히면 최대 500만 명까지 이탈할 수 있다”고 내다봤다. 고객 1인당 위약금은 평균 10만원으로 예상된다. SK텔레콤 내부에선 위약금 지출과 매출 감소 등을 합하면 손실 금액이 향후 3년간 7조원에 달할 것으로 추산한다.

이날 청문회에 출석한 유상임 과기부 장관도 “SK텔레콤에 심각한 피해가 될 수 있어 쉽게 결정할 사안이 아니라고 생각한다”고 말했다. 한편 개인정보위는 SK텔레콤이 9일까지 개인정보 유출 내역을 전체 이용자에게 제출하도록 의결했다고 밝혔다.

이승우/최지희 기자 leeswoo@hankyung.com