신작웹게임 [속보] ‘해킹 사고’ SK텔레콤에 과징금 1348억원…역대 최대 > 갤러리

신작웹게임 [속보] ‘해킹 사고’ SK텔레콤에 과징금 1348억원…역대 최대

페이지 정보

작성자 행복인
댓글 0건 조회 0회 작성일 25-08-30 05:04

본문

신작웹게임 해킹 사고로 약 2300만명의 개인정보를 탈취당한 SK텔레콤이 역대 최대인 1300억원이 넘는 과징금·과태료를 물게 됐다.
개인정보보호위원회는 “이동통신 핵심 네트워크·시스템에 대한 관리 소홀로 디지털 개인정보를 유출한 SK텔레콤에 대해 1347억9100만원의 과징금과 960만원의 과태료를 부과하고 안전조치 강화 등 시정조치를 요구하는 안을 27일 의결했다”고 28일 밝혔다. 이번 과징금 규모는 개인정보위가 2020년 출범한 이후 가장 크다.
개인정보보호위가 지난 3개월간 진행한 조사 결과에 따르면, SK텔레콤에선 LTE·5G 서비스 전체 이용자 2324만4649명(알뜰폰 포함)의 25종의 정보가 유출됐다. 휴대전화번호, 가입자식별번호(IMSI), 유심인증키(Ki·OPc) 등이다.
개인정보위는 이번 사태에 대해 “휴대전화가 개인 식별·인증하는 핵심 수단으로 이용되는 상황에서 이동통신 서비스의 신뢰를 떨어뜨리고 사회적 불안감을 확산시키는 등 국민 생활에 중대한 영향을 끼쳤다”고 평가했다.
이번 조사에서 SK텔레콤의 보안 수준은 매우 헐거웠던 것으로 드러났다.
해커가 SK텔레콤 내부망에 최초 침투한 것은 4년 전이었다. 해커는 2021년 8월 SK텔레콤 내부망에 침투해 다수의 악성 프로그램을 설치했고, 이듬해 6월 통합고객인증시스템에도 악성 프로그램을 추가 설치했다. 이어 올해 4월 홈가입자서버(HSS·가입자의 이동통신망 접속을 위한 인증시스템) 데이터베이스에 저장된 이용자의 개인정보를 대거 외부로 유출했다. 지난 4년간 SK텔레콤에선 해커의 행동을 감지하고 차단하기 위한 방어 시스템이 가동되지 않았다.
SK텔레콤은 국내외 인터넷망에서 내부 관리망, 핵심 서버인 HSS까지 접속이 가능하도록 관리하고 있었다. 관리망 서버와 핵심 서버인 HSS엔 별도의 암호설정도 되어 있지 않았다. 해커가 인터넷을 통해 HSS까지 침투해 별도의 인증절차 관문도 거치지 않고 2300여만명의 개인정보를 유출할 수 있었던 배경이다.
유심 인증키(2614만4363건)도 암호화돼 있지 않았다. 이 때문에 해커는 유심 복제에 사용될 수 있는 유심 인증키를 원본 그대로 확보할 수 있었다. 반면 LG유플러스는 2011년부터, KT는 2014년부터 유심키를 암호화해 저장하고 있었다. SK텔레콤은 타 통신사의 암호화 사실을 알고도 이 같은 안전 조치를 취하지 않았다는 게 개인정보위의 설명이다.
보안이 헐거웠어도 해킹 사고를 막을 기회는 있었다. SK텔레콤은 3년 전 이미 해커가 HSS서버에 접속한 사실을 확인했지만 악성 프로그램 설치 여부 확인 등의 점검을 하지 않았다.
아울러 해커가 악성 프로그램 설치에 활용한 운영체제 보안 취약점에 대해선 9년 전인 2016년 보안경보가 발령됐고 보안 패치가 공개된 상황이었다. SK텔레콤은 이를 인지하고 있었으나 보안 조치 없이 해당 운영체제를 설치했고, 해킹 사고 당시까지도 보안 업데이트를 하지 않았다.
해킹 이후 유출 통지 또한 느슨했다. 조사 결과에 따르면 SK텔레콤이 고객정보의 외부 전송 사실을 확인한 것은 올해 4월19일이었다. 법령상 72시간 내 이용자에게 유출 사실을 통지해야 한다. 개인정보위는 5월2일 SK텔레콤은 유출통지를 진행할 것을 긴급 의결했지만, SK텔레콤은 같은 달 9일 “유출 가능성”에 대해 통지했고, “유출 확정” 통지는 지난달 28일에서야 실시했다. 개인정보위는 “개인정보 유출 시 이용자 피해 예방을 위해 보호법에서 규정한 최소한의 의무조차 이행하지 않았다”고 지적했다.
고학수 개인정보위 위원장은 “이번 사건을 계기로 대규모 개인정보를 보유·처리하는 사업자들이 관련 예산과 인력의 투입을 단순한 비용 지출이 아닌 필수적인 투자로 인식하길 바라며, 나아가 데이터 경제시대 CPO와 전담조직이 기업경영에서 차지하는 역할과 중요성을 제고해 개인정보 보호 체계가 한 단계 강화되는 계기가 되길 바란다”고 말했다.
해를 거듭할수록 심화하는 지구 온난화에 인공지능(AI) 기술 발전으로 전 세계적으로 전력 수요가 늘어나고 있지만, 정작 전력을 배분할 전력망이나 에너지저장장치(ESS) 등 저장 시설에 대한 투자는 부족하다는 지적이 나왔다.
파티 비롤 국제에너지기구(IEA) 사무총장은 27일 부산 해운대구 파라다이스호텔에서 열린 기자회견에서 “우리는 향후 수십년간 에너지 지형을 재편할 ‘전기의 시대’에 진입하고 있다”며 “2035년까지 지금보다 6배 빠른 속도로 에너지 수요가 증가할 것으로 예상한다”고 밝혔다. 이어 “10년 전에는 화석에너지와 청정에너지에 대한 투자가 거의 같았지만 오늘날에는 화석에너지에 1달러가 투자될 때, 청정에너지에 약 2달러가 투자되고 있다”고 설명했다.
에너지 투자 중에서도 태양광·풍력 등 재생에너지와 원전에 대한 투자는 증가하고 있지만, 전력망에 대한 투자는 상대적으로 크게 부족하다고 비롤 사무총장은 지적했다. 그는 “현재 전 세계적으로 발전 부문에 매년 1조달러(약 1400조원)가 투자되는 반면 전력망에는 4000억달러(약 558조원)가 지출되고 있다”며 “전력망·저장 시설에 대한 투자가 전력 수요 증가와 재생에너지 보급 속도를 따라가지 못하고 있다”고 밝혔다.
비롤 사무총장은 또 에너지 기술과 핵심 광물 정제가 중국에 집중된 점도 우려로 꼽았다. 그는 “핵심 광물은 채굴과 정제 능력으로 나눌 수 있는데 아시아는 물론 아프리카, 남미에서도 채굴하는 중국은 전 세계 톱”이라며 “정제 부문에서도 중국이 70% 점유하고 있다”고 지적했다. 이어 “특정 국가에 집중되면 자연재해가 발생했을 때 전 세계 공급망에 큰 영향을 미치게 된다”며 “정치적 문제를 떠나 이는 에너지 안보 위기로, 각국 정부가 다양성을 가지기 위해 노력해야 한다”고 밝혔다.
비롤 사무총장은 이날 개막한 ‘2025 기후산업국제박람회(WCE)’ 참석을 위해 방한했다. WCE는 한국 정부와 IEA·세계은행(WB)이 공동 주최하는 국제 행사다. 올해 대주제는 ‘AI를 위한 에너지, 에너지를 위한 AI’다. 김민석 국무총리는 개막사에서 “AI 발전에는 안정적인 에너지 전환이 필요하고 에너지 혁신에는 AI 기술이 필요하다”며 “에너지와 AI 융합은 기후 에너지 위기 극복을 위한 돌파구가 될 것”이라고 말했다.
이날 개막식에는 32개국 정부 대표와 15개국 주한 대사 등 약 1000명이 참석했다. 올해는 마이크로소프트·구글·엔비디아·아마존웹서비스·지멘스 등 해외 기업을 비롯해 삼성전자·현대차·SK이노베이션·한화큐셀·두산에너빌리티·효성중공업·포스코·고려아연 등 국내 기업도 부스를 마련했다.
해킹 사고로 고객 정보를 탈취당한 SK텔레콤이 유심인증키를 암호화하지 않았던 것으로 확인됐다. GU유플러스는 2011년부터, KT는 2014년부터 유심인증키를 암호화하고 있었고 SK는 이를 인지하고 있었지만 손을 놓고 있었던 것이다.
개인정보보호위원회는 보안 소홀로 2300여만명의 디지털 개인정보를 유출한 SK텔레콤에 대해 1347억9100만원의 과징금과 960만원의 과태료를 부과키로 했다고 밝히면서, 태스크포스를 꾸려 진행한 조사 결과를 28일 함께 공개했다. 개인정보위는 지난 4월22일 SK텔레콤의 해킹 신고 이후 3개월간 개인정보 유출 사실관계와 개인정보보호법 위반 여부를 중점 조사해왔다.
조사 결과에 따르면, SK텔레콤은 유심인증키(Ki) 2614만4363건을 암호화하지 않고 있었다. 유심인증키는 유출되면 ‘유심 복제’에 사용될 수 있어 보안이 가장 철저해야 할 개인정보에 해당한다.
SK텔레콤과 달리 타 이동통신사는 유신인증키를 암호화해 관리하고 있었다. LG유플러스는 2011년부터, KT는 2014년부터 유심키를 암호화해 저장하고 있었다.
SK텔레콤은 최소 3년 전 타 이동통신사의 유심키 암호화 사실을 인지하고 있었으나, 평문 저장을 유지했다. 개인정보위는 “SK텔레콤이 2022년 언론에서 유심 복제 등의 이슈가 제기됨에 따라 암호화 조치를 검토하면서 타 통신사가 유심 인증키를 암호화하여 저장하고 있음을 확인했다”면서 “그럼에도 조치를 하지 않아 유출 피해를 예방하지 못한 사실이 확인됐다”고 말했다.
유심인증키 평문 저장만이 문제가 아니었다. SK텔레콤의 보안은 “꽤 오랜 기간 허술한 상태”(고학수 개인정보위원장)였다.
SK텔레콤은 인터넷망과 운영·관리망, 핵심 네트워크인 코어망, 사내망을 동일한 네트워크로 연결해 운영했다. 국내외 인터넷망에서 SK텔레콤 내부 관리망은 물론 핵심 서버인 HSS(가입자 이동통신망 접속을 위한 인증시스템)까지 접속할 수 있었다.
또한 ID·비밀번호 4899개의 계정정보 파일이 암호 설정 없이 관리망 서버에 저장돼 있었고, HSS에서도 비밀번호 입력 등 인증 절차 없이 개인정보조회가 가능했다.
해커가 악성프로그램 설치에 활용한 운영체제 역시 보안이 헐거웠다. 해당 운영체제는 2016년에 보안 경보가 발령돼 보안 패치가 공개돼 있었으나 SK텔레콤은 이를 인지하고 있었음에도 보안 조치 없이 설치했다. 그후 올해 4월 해킹 사고를 당할때까지도 보안 업데이트를 실시하지 않았다. 각종 상용 백신 프로그램은 2020년 즈음부터 해당 운영체제의 취약점을 탐지해 안내하고 있었지만, SK텔레콤은 이 같은 백신 프로그램도 설치하지 않았다.
SK텔레콤의 조직 체계 또한 보안에 취약한 것으로 나타났다. SK텔레콤은 IT 영역과 통신 영역에서 모두 개인정보를 처리함에도 개인정보 보호 책임자(CPO)의 역할은 IT 영역에 국한돼 있었다. 개인정보위는 “이번 유출 사고가 발생한 인프라 영역은 CPO가 개인정보 처리 실태조차 파악하지 못하는 등 CPO의 관리·감독이 사실상 이뤄지지 않은 것으로 확인됐다”고 설명했다.

이전글차량시세조회 미, 외국학생·교환방문자 비자 기간 ‘최대 4년’ 제한 추진 25.08.30
다음글서울원룸 7월 소비 2.5%↑, 2년5개월 만에 최대폭…생산·투자도 ‘플러스’ 25.08.30

댓글목록

등록된 댓글이 없습니다.