개인정보위 “SKT 침해사고, 개인정보보호법상 안전조치 의무 위반 엄정 조사”

개인정보보호위원회(위원장 고학수)는 SKT텔레콤(이하 SKT) 해킹 사고와 관련해 개인정보 유출사고의 심각성을 인식해 집중조사 태스크포스(TF)를 구성해 개인정보보호법에 따른 조사를 진행 중이라고 19일 밝혔다.

개인정보위는 SKT의 신고 당일인 지난 4월 22일 조사에 착수했다. 이미 유출된 것으로 발표된 가입자 휴대전화번호, 가입자식별번호(IMSI), 인증키 등 유심(USIM) 정보를 개인정보라고 판단했고, 지난 2일 위원회 긴급의결로 유출이 확인됐거나 가능성이 있는 모든 정보주체에게 개별 통지하고, 피해방지 대책을 마련하도록 촉구한 바 있다.

개인정보위 유출조사는 개인정보보호법(이하 보호법) 제63조에 따른 것으로, 정보통신망법에 근거한 과기정통부 민관합동조사단의 침해사고 조사와는 구분된다.

개인정보위 조사의 핵심은 개인정보 유출 대상 및 피해 규모의 확정과 사업자의 보호법상 안전조치 의무(기술적·관리적 조치 포함) 위반에 대한 확인이다. 이에 따라 지난 13일 관계부처 회의 시 과기정통부는 개인정보가 포함된 서버의 추가 감염 가능성을 공유했고, 이후 16일 회의에서 악성코드 추가 감염사실을 확인한 바 있다.

이와 별개로 개인정보위는 SKT측으로부터 유출조사에 필요한 증적 자료를 별도 확보해, 보호법에 따른 조사를 독립적으로 진행하고 있다. 조사 과정에서 기존 유출경로로 확인된 가입자인증시스템(HSS) 등 5대 외에도 통합고객시스템(ICAS) 서버 2대를 포함해 총 18대 서버에 악성코드가 추가 감염된 것을 확인했다고 설명했다. ICAS는 T월드 등 사내 서비스 및 사전 인가된 협력사 대상 SKT 가입자의 가입 상태, 정보 및 가입 상품 조회용 애플리케이션프로그래밍인터페이스(API)를 제공한다.

이 서버에는 이름, 생년월일, 휴대전화번호, 이메일, 주소, 단말기식별번호(IMEI), IMSI 등 고객의 중요 개인정보를 포함해 총 238개 정보(컬럼값 기준)가 저장돼 있으며, 악성코드에 최초 감염된 시점(2022년 6월)이 오래된 점을 고려해 감염경위, 유출정황 등을 면밀히 조사하고 있다고 개인정보위는 밝혔다.

개인정보위는 국민적 우려가 큰 대규모 개인정보 유출 사고인 만큼 철저히 조사하는 한편, 관련 대책 강구 등을 통해 재발 방지에 만전을 기할 예정이며, 피싱·스미싱에 대한 대처 방법 안내와 혹시 있을지도 모를 유출정보의 유통에 대비해 인터넷 및 다크웹에 대한 모니터링을 강화하는 한편, 당분간 현 비상대응상황을 유지할 예정이다.

한편, SKT 침해사고 민관합동조사단이 이날 발표한 해킹사고 2차 조사결과에 따르면, 총 23대의 서버 감염을 확인했고, 그 중 15대에 대한 포렌식 등의 정밀분석을 완료했다. 현재까지 리눅스 기반 백도어인 BPF도어(Door) 계열 24종, 웹셸 1종 등 25종의 악성코드를 발견, 조치를 취했다. 또 조사 과정에서 해킹된 서버 일부에 총 29만1831건의 IMEI가 포함된 사실을 확인했다고 밝혔다.

글. 바이라인네트워크
<이유지 기자>yjlee@byline.network