정부 "'해킹사고' SKT, 위약금 면제해야…불응시 시정명령·등록취소 검토"

5개 법무법인 자문 거쳐 '사업자 귀책' 결론
4월 18일 이후 해지 고객 소급 적용 가능성도

류제명 과학기술정보통신부 차관. 연합뉴스

정부가 SK텔레콤의 유심 해킹 사태와 관련해, "위약금을 면제해야 하는 귀책사유에 해당한다"는 판단을 내렸다. SKT 가입자가 다른 통신사로 옮겨도 위약금을 부과할 수 없다는 결론으로, SKT가 이를 거부할 경우 시정명령과 등록취소 등 전기통신사업법상 조치를 검토할 수 있다는 입장을 공식화했다.

류제명 과학기술정보통신부 2차관은 4일 정부서울청사에서 'SKT 해킹사고 민관합동조사단 최종 조사결과 발표' 브리핑을 열고 "SKT가 유심정보 보호를 위한 주의 의무를 다하지 못했고, 정보통신망법 등 관련 법령도 위반했다"며 "이용약관 제43조 제1항에 따라 위약금 면제 사유에 해당한다는 결론에 도달했다"고 밝혔다.

SKT 약관 제43조는 '회사의 귀책 사유로 해지할 경우 위약금이 면제된다'고 명시돼 있다. 정부는 이번 판단을 내리기 위해 총 5개 법무법인에 법률자문을 의뢰했으며, 이 중 4곳이 '귀책 사유가 인정된다'는 의견을 제시했다.

정부 "계약상 의무 불이행…귀책 명백"

과기정통부가 귀책 사유로 본 핵심은 크게 세 가지다. 관리자 계정정보의 평문 저장 등 보안관리 부실, 2022년 발생한 유사 침해사고에 대한 신고 누락·분석 미흡, 유심 인증키(Ki) 등 중요정보의 암호화 저장 미이행 등이다.

류 차관은 "SKT는 자사 서버에서 다수의 계정정보를 평문 상태로 관리했고, 이 정보들이 공격자에 의해 활용됐다"며 "이런 보안수준은 관련 법령이 정한 기준은 물론, 일반적 사업자에게 기대되는 주의의무에도 미치지 못한다"고 지적했다. 또한 "유심키(Ki)값의 경우 글로벌이동통신사업자협회(GSMA)가 암호화를 권고하고 있으며, 다른 국내 통신사들도 이를 이행 중이지만 SKT만 비암호화로 관리해왔다"고 설명했다.

여기에 더해, 2022년 발생한 유사 침해사고 당시 정부에 신고하지 않고 자체 조치한 점도 중대한 문제로 지목됐다. 류 차관은 "해당 시점에서도 악성코드 감염 정황이 있었고, 당시 로그 기록을 일부만 분석해 심각한 보안 리스크를 놓쳤다"고 밝혔다.

정부는 이 같은 판단을 법률적으로 뒷받침받기 위해 5개 법무법인에 법률자문을 의뢰했다. 이중 4개 법무법인이 실제 조사결과를 봤을 때 위약금 면제에 해당하는 귀책사유가 SKT에 있다고 결론내렸다. 한 곳은 추가 정보가 있어야 최종 판단이 가능하다고 유보했다.

류 차관은 다만 이번 판단은 일반화된 해석은 아니며, 사고의 특수성에 기반한 판단이라는 점도 강조했다. 그는 "보호 조치가 미흡한 상황에서 유심정보가 유출됐다는 점에서 계약의 신뢰 기반이 무너진 사례"라며 유사 사고라도 상황에 따라 위약금 면제에 대한 판단은 다를 수 있다고 설명했다.

위약금 소급 적용 가능성도…"정부 정보보호 관리 체계 보완"

과기정통부는 4월 18일 유심정보 유출 시점을 기준으로 위약금 면제가 적용될 수 있다고 판단했다. 즉, 유출 시점 이후 번호이동 등으로 해지한 고객의 경우, 소급 환불이 가능하다는 뜻이다. 류 차관은 "나머지 고객들에 대해서는 SKT가 구체적인 범위를 정해서 제시를 하지 않을까 기대한다"고 말했다.

류 차관은 "정부가 이날 오전 SKT 측에 공식 입장을 설명했으니 SKT가 내부 검토를 하고 있을 것으로 판단된다"며 "위약금 면제를 거부할 경우 전기통신사업법 제92조에 따라 시정명령을 내릴 수 있으며, 이행하지 않을 경우 제20조에 따른 등록취소까지도 검토할 수 있다"고 언급했다.

정부는 이번 사태를 계기로 정보보호 체계 전반을 점검하고, 제도개선에 나선다는 방침이다. 류 차관은 "국회 과학기술정보방송통신위원회 내 TF와 함께 법령 정비, 투자 확대 등 다방면의 개선안을 논의 중"이라며 "국회와 협력해 조속히 제도적 보완책을 마련하겠다"고 밝혔다.

박유진 기자 genie@asiae.co.kr