“SKT, 24시간 내 해킹 보고 규정 위반” [SKT 유심 해킹]

SK텔레콤(대표 유영상)이 해킹 사고 인지 24시간 이내에 정부에 신고해야 하는 규정을 위반한 것으로 파악됐다.

24일 최수진 국회 과학기술정보방송통신위원회 소속 의원(국민의힘)이 SK텔레콤으로부터 제출받은 자료에 따르면 SK텔레콤은 4월 18일 오후 6시 9분 사내 시스템 데이터가 의도치 않게 움직였다는 사실을 처음 인지했다. 이후 이날 오후 11시 20분 악성코드를 발견하고 해킹 공격을 받았다는 사실을 내부에서 확인했다. 

SK텔레콤은 4월 19일 오전 1시 40분 어떠한 데이터가 빠져나갔는지 분석을 시작한 뒤 22시간 만인 같은 날 오후 11시 40분쯤 해커에 의한 악성코드로 이용자 유심 정보가 유출된 사실을 확인했다.

최 의원실에 보고된 SK텔레콤의 한국인터넷진흥원(KISA) 보고 시점은 20일 오후 4시 46분으로 사건의 최초 해킹 인지 시점인 4월 18일 오후 6시 9분과 약 45시간 차이가 난다. 해킹 공격을 제대로 파악한 18일 오후 11시를 기준으로 해도 40시간이 지난 시점에 신고한 셈이다.

이에 KISA는 최 의원실에 SK텔레콤이 24시간 내 해킹 공격을 보고해야 한다는 규정을 위반했다고 밝혔다.

현 정보통신망법은 정보통신서비스 제공자가 침해사고가 발생한 것을 알게 된 때로부터 24시간 이내에 침해사고 발생 일시, 원인 및 피해 내용을 과학기술정보통신부 장관이나 KISA에 신고해야 한다고 정한다.

SK텔레콤은 "해킹 공격을 받았다고 인지한 18일 오후 11시를 기준으로 하면 24시간 내 신고를 못한 게 맞다"면서도 "4월 18일 진행한 이상 징후 파악 작업은 평소에도 몇 차례씩 늘상 진행된다. 늑장신고를 하려고 한 게 아니라 데이터를 더 파악해 신고하려는 차원이었다"고 해명했다.

김광연 기자
fun3503@chosunbiz.com