"SKT만 유심 인증키 암호화 안 해"…정부도 "보안 소홀" 인정더팩트 기사제공: 2025-05-08 18:54:03

유영상 SK텔레콤 대표가 8일 오후 서울 여의도 국회에서 열린 과학기술정보방송통신위원회 전체회의 SK텔레콤 해킹 관련 청문회에 참석해 질의에 답변을 하고 있다. /배정한 기자

[더팩트ㅣ조소현 기자] SK텔레콤이 유심 해킹 사태 이전까지 유심 인증키를 암호화하지 않은 유일한 통신사였던 것으로 확인된 가운데, 유상임 과학기술정보통신부 장관이 SK텔레콤의 보안 관리에 일부 소홀함이 있었다고 인정했다. 일각에서는 단말기 식별번호(IMEI)의 유출 가능성도 완전히 배제할 수 없다는 지적도 나왔다.

노종면 더불어민주당 의원은 8일 국회 과학기술정보방송통신위원회 청문회에서 "유심 식별번호는 통신 3사 모두 암호화를 하지 않았지만, 유심 인증키는 SK텔레콤만 암호화를 하지 않았다"고 지적했다.

노 의원은 "유심 인증키라도 암호화했더라면 해킹의 목적이나 의도를 어느 정도 완화할 수 있었던 것 아니냐"며 "비밀번호 역할을 하는 인증키가 암호화되지 않은 유일한 통신사라는 점에서 해커의 공격 대상이 될 가능성이 높지 않겠느냐"고 질의했다.

이상중 한국인터넷진흥원(KISA) 원장은 "경우의 수를 따지는 것이지만, 그럴 가능성은 있었으리라 생각한다"고 답변했다.

또 노 의원이 "유심 인증키를 비식별 처리했더라면 해커 입장에서 더 곤란한 상황이 됐을 것 아니냐"고 묻자, 이동근 KISA 디지털위협대응본부장은 "그렇다"고 답했다. "해커 입장에서 통신 3사 중 한 곳을 노려야 했다면, 암호를 풀 필요 없는 SK텔레콤을 선택했을 가능성이 높지 않느냐"고 하자, 이 본부장은 "해커가 그 점을 알고 공격했는지는 판단하기 어렵다"고 말했다.

유상임 과기부 장관은 SK텔레콤의 유심 인증키 암호화 누락에 대해 "조금 소홀했다고 생각한다"고 밝혔다. 유 장관은 "가입자 식별번호는 이통사 모두 암호화하지 않은 것으로 파악되며 이는 전 세계적으로도 보편적인 현상"이라면서도 "인증키는 더욱 보안에 유리한 것이므로 가급적 암호화하고 그렇게 지도하는 게 맞다고 본다"고 설명했다.

노 의원이 "왜 유심 인증키를 암호화하지 않았냐"고 묻자, 유영상 SK텔레콤 대표는 "제가 챙겨보지 못했다"고 답변했다.

노 의원은 "정보통신접속서비스 사업자는 선량한 관리자의 주의 의무를 다했을 경우 사고에 대한 책임을 면할 수 있지만, SK텔레콤은 유심 인증키조차 비식별 처리하지 않았다"며 "이는 주의 의무를 다하지 않은 것"이라고 주장했다.

유상임 과학기술정보통신부 장관은 SK텔레콤의 유심 인증키 암호화 누락에 대해 "조금 소홀했다고 생각한다"고 밝혔다. /배정한 기자

이날 청문회에서는 IMEI 유출 가능성에 대한 우려도 제기됐다. 노 의원은 이동근 본부장에게 "IMEI가 유출되면 유심을 바꿔도 막을 수 없는데, 지금 IMEI가 유출되지 않았다고 100% 확신할 수 있느냐"고 질의했다.

이에 대해 이 본부장은 "1차 조사 결과로는 유출되지 않은 것으로 확인했다"고 답했다. 그러나 "앞으로도 확신할 수 있느냐"는 질문에는 "여러 가능성을 열어두고 조사 중"이라며 신중한 입장을 보였다. "계속 조사 중이라는 건 혹시 모를 상황이 있다는 의미냐"는 질의에는 "그렇다"고 답변했다.

노 의원은 이어 유상임 과기부 장관에게 "IMEI가 유출됐을 경우 유심보호서비스가 만능이라고 볼 수 없지 않느냐"고 물었고, 유 장관은 "유출되지 않았다는 것은 사실이지만, 가능성이 전혀 없다고는 확신할 수 없다"며 "(유심보호서비스가 만능이라고) 얘기할 수는 없다고 생각한다"고 밝혔다.

다만 유영상 대표는 '유심보호서비스 가입만으로 100% 안전하냐'는 노 의원의 질문에 "현재 상태는 100% 안전하다고 생각한다"고 말했다.

IMEI 유출 시 책임에 대한 질의도 이어졌다. 류정환 SK텔레콤 네트워크인프라센터장은 "IMEI가 유출될 경우 리스크는 상당히 커지지만, SK텔레콤 망에서는 이를 탐지하고 차단할 수 있는 솔루션을 구축했다"며 "지난해부터 기술 개발에 착수해 현재는 최종 단계에 있으며, 5월 말 적용 예정"이라고 설명했다.

이에 노 의원은 "아직 완성되지 않은 상태에서 이미 해킹이 발생한 것 아니냐"고 지적하자, 류 센터장은 "아직 (유출 사례는) 나오지 않았고, 나온 것에 대해서는 책임을 지겠다고 말한 바 있다"고 밝혔다.

노 의원은 "유심보호서비스만으로 모든 위험을 차단할 수 있다는 식의 설명은 적절하지 않다"며 "정부와 통신사가 IMEI 유출 가능성을 전제로 가능성을 열어 두고 보안 대책을 마련해야 한다"고 강조했다.

sohyun@tf.co.kr