“SKT, 유심 정보 암호화조차 안 했다”…관리 실태 도마 위

▲류정환 SKT 부사장(오른쪽)이 과방위 청문회에 출석해 이준석 의원의 질의에 답변하고 있다. 캡처=국회방송

SK텔레콤이 유심 해킹 사태와 관련해 유출된 핵심 고객 정보들에 대해 사전 암호화조차 하지 않았던 사실이 30일 국회 청문회에서 공식 확인되면서, SK그룹 전반의 개인정보 보호 체계가 도마 위에 올랐다.

이날 과학기술정보방송통신위원회(과방위) 청문회에 출석한 류정환 SK텔레콤 부사장은 “마케팅 부서가 관리하는 고객정보는 암호화돼 있었지만, 이번에 유출된 유심 관련 정보는 암호화된 바 없다"고 밝혔다. 류 부사장은 “해당 정보에 대해서도 암호화 계획은 있었지만, 저장 당시에는 암호화되지 않은 상태였다"고 덧붙였다.

유출된 정보에는 가입자식별번호(IMSI), 인증키(Ki), 유심 일련번호 등이 포함된 것으로 알려졌으며, 이는 휴대전화 가입자의 신원과 통신권한을 인증하는 핵심 식별자다. 이 정보들이 평문 상태로 저장·보관돼 있었다는 사실은 해킹 사고의 위험성을 더욱 키웠다는 평가다.

이에 대해 이준석 의원(개혁신당, 경기 화성시을)은 “이 정도 수준의 식별 정보를 암호화하지 않았다는 건, 보안 엔지니어링의 기본도 지키지 않은 것"이라며 “이건 단순히 SK텔레콤 차원의 문제가 아니라, SK그룹 전체의 개인정보 보호 인식이 얼마나 허술한지를 보여주는 사례"라고 강하게 비판했다.

일반적으로 국내외 대형 IT 기업과 통신사는 인증키나 식별자 정보를 비가역적 해시(hash) 처리하거나, 최소한 DB 암호화를 적용해 저장한다. 그러나 SKT는 유심 식별 정보라는 고위험 데이터를 암호화 없이 운영망에서 관리해 왔고, 공격자는 이를 고스란히 탈취한 것으로 추정된다.

한편 정부와 개인정보보호위원회, 과학기술정보통신부는 이번 사고와 관련해 민관합동조사단을 구성해 조사를 진행 중이며, SKT의 기술적·관리적 보호조치 미비 여부가 핵심 조사 대상이 될 것으로 보인다.

강현창 기자 khc@ekn.kr