정부 “해킹 사고, SKT 과실 발견···위약금 면제해야”

페이지 정보

작성자 이길중 작성일25-07-05 00:26 조회43회 댓글0건

본문

SK텔레콤이 해킹 사고로 계약을 해지하는 고객들의 위약금을 면제해야 한다는 정부 판단이 나왔다.
과학기술정보통신부는 이날 “이번 침해사고에서 SK텔레콤 과실이 발견된 점, SK텔레콤이 계약상 주된 의무인 안전한 통신서비스 제공 의무를 다하지 못한 점 등을 고려할 때 회사 약관상 위약금을 면제해야 하는 회사의 귀책사유에 해당한다고 판단했다”고 밝혔다. 정부는 법률 자문기관이 제시한 법리를 토대로 SK텔레콤 입장, 침해사고로 인한 결과의 중대성 등을 종합적으로 검토했다.
SK텔레콤 이용약관 제43조는 “회사의 귀책사유로 인해 해지할 경우 위약금 납부 의무가 면제된다”고 명시하고 있다.
과기정통부는 민관 합동조사단 조사 결과를 바탕으로 5개 법률 자문기관 기관을 통해 법률 자문을 진행한 결과 4개 기관이 이번 해킹 사고를 SK텔레콤 과실로 판단했다. 이들 기관은 유심정보 유출은 안전한 통신서비스 제공이라는 계약의 주요 의무 위반이므로 위약금 면제 규정 적용이 가능하다는 의견을 제시했다. 나머지 한 곳은 현재 자료로 판단이 어렵다며 판단을 유보했다.
정부는 이번 판단을 두고 “SK텔레콤 약관과 이번 침해사고에 한정되며 모든 사이버 침해사고가 약관상 위약금 면제에 해당한다는 일반적인 해석이 아니다”라고 말했다.
류제명 과기정통부 2차관은 “SK텔레콤이 정부 방침에 반대되는 입장을 표명하는 경우 전기통신사업법상 절차대로 시정명령을 요구하고, 이행하지 않으면 행정조치를 취하게 될 것”이라고 말했다. 정부 방침을 수용하지 않을 경우 사업 등록취소 등을 조치할 수 있다고 설명했다.
정부는 이날 민관 합동조사단의 최종 조사 결과도 발표했다. SK텔레콤 전체 서버 4만2605대를 점검한 결과 28대가 악성코드에 감염됐고, 확인된 악성코드는 33종이었다. 유출된 정보는 전화번호, 가입자 식별번호(IMSI) 등 유심정보 25종이다. 유출 규모는 9.82GB(기가바이트), IMSI 기준 약 2696만건이다.
조사단은 감염서버 중 단말기식별번호(IMEI)와 이름, 생년월일, 전화번호, 이메일 등 개인정보가 암호화하지 않은 평문으로 임시 저장된 서버 2대와 통신기록(CDR)이 평문으로 임시 저장된 서버 1대를 발견했다. 정밀 분석 결과 로그기록이 남아있는 기간에는 자료 유출 정황이 없는 것을 확인했다. IMEI가 저장된 서버 로그기록이 남아있는 기간은 지난해 12월3일부터 올해 4월24일까지, CDR 저장 서버는 지난해 12월9일부터 올해 4월20일까지였다.
정부는 “악성코드 감염시점부터 로그기록이 없는 기간에는 유출여부를 확인하는 것이 불가능했다”고 전했다. IMEI 저장 서버는 2022년 6월15일, CDR 저장 서버는 2023년 1월31일 악성코드에 감염됐다.
침투는 4년 전부터 시작됐다. 공격자는 외부 인터넷 연결 접점이 있는 시스템 관리망 내 서버A에 접속한 뒤 다른 서버에 침투하기 위해 원격제어, 백도어 기능 등이 포함된 악성코드를 2021년 8월6일 설치한 것으로 조사됐다. 당시 서버A에는 시스템 관리망 내 서버들의 계정 정보(ID, 비밀번호 등)가 평문으로 저장돼 있었다.
조사단은 공격자가 이 정보를 활용해 시스템 관리망 내 다른 서버에 접속한 것으로 추정했다. 2022년 6월 공격자는 시스템 관리망을 통해 고객 관리망 내 서버에 접속한 것으로 추정된다. 서버 접속 후 악성코드를 추가로 설치했다.
공격자는 2023년 11월30일부터 초기 침투 과정에서 확보한 계정 정보를 활용해 시스템 관리망 내 여러 서버에 추가로 악성코드를 설치했다. SK텔레콤은 시스템 관리망 내 서버의 계정 비밀번호를 장기간 변경하지 않고 있었다.
이후 공격자는 지난 4월18일 음성통화인증서버(HSS) 3개 서버에 저장된 유심정보를 시스템 관리망 내 외부 인터넷 연결 접점이 있는 서버를 거쳐 유출했다.
조사단은 SK텔레콤의 계정정보 관리 부실, 과거 침해사고 대응 미흡, 주요 정보 암호화 조치 미흡을 사고 원인으로 파악했다. SK텔레콤은 2022년 2월23일 특정 서버에서 비정상 재부팅이 발생해 해당 서버와 연계 서버를 점검하는 과정에서 악성코드에 감염된 서버를 발견 후 조치했다. 정보통신망법에 따른 신고 의무는 이행하지 않았다.
당시 회사는 이번 사고에서 감염이 확인된 HSS 관리 서버에 비정상 로그인 시도가 있었던 정황도 발견했다. 하지만 해당 서버에 대한 로그기록 6개 중 1개만 확인해 공격자가 서버에 접속한 기록을 확인하지 못했다. 이로 인해 HSS 관리서버 및 정보 유출이 발생한 HSS에서 악성코드를 확인하지 못했다. 침해 사고를 신고하지 않아 정부가 조사를 통해 악성코드를 발견·조치할 수도 없었다.
SK텔레콤은 이번 침해 사고 대응과정에서 침해사고 신고 지연 및 미신고, 자료보전 명령 위반 등 정보통신망법상 준수 의무 2가지를 위반했다. 과기정통부는 법에 따라 SK텔레콤에 침해 사고 원인 분석을 위해 자료 보전을 명령했지만, 회사는 서버 2대를 포렌식 분석이 불가능한 상태로 임의 조치 후 제출했다. 정부는 수사기관에 수사를 의뢰할 예정이다.
정부는 계정 비밀번호 관리 강화, 주요 정보 암호화, 정보보호 거버넌스 강화, 정보보호 인력·예산 확대 등을 재발방지 대책으로 제시했다.
앞으로는 전기차 충전기 종류에 따라 다른 회원 결제 카드를 챙길 필요 없이 휴대전화로 요금 결제를 할 수 있게 된다. 모바일티머니앱을 전기차 충전기에 대기만 하면 결제가 이뤄지는 방식이다.
서울시가 국내 최초로 공공 전기차 충전소에 티머니 교통 카드 기반 간편 결제 서비스를 오는 3일부터 도입한다고 1일 밝혔다.
새 결제방식을 이용하면 충전기 종류에 따라 각각 회원 결제 카드를 들고 다닐 필요 없이, 모바일티머니앱을 통해 휴대전화 태그 한 번으로 요금을 결제할 수 있다. 모바일티머니앱에서 전기차 멤버십 가입 후 멤버십 카드와 결제수단을 등록하면 서비스 이용이 가능하다.
앱에 등록된 멤버십 카드는 인증용으로만 사용된다. 결제는 선택한 결제수단으로 진행되고 해당 서비스는 앱 기반으로만 지원돼 실물 교통카드는 쓸 수 없다.
시는 우선 시가 소유한 공공 급속충전기 316기에 새 결제방식을 적용하고 대상 범위를 확대할 방침이다. 적용 가능 충전기 목록은 모바일티머니앱의 전기차 멤버십 메뉴에서 확인할 수 있다.
시는 향후 충전기에 QR 안내 스티커를 부착해 이용 방법을 안내할 예정이다. 시민 이용 활성화를 위한 마일리지 적립 행사도 한다.
마일리지 5000원 이상 충전 시 1건당 1000원 상당의 마일리지가 적립되며, 월 최대 1만원(10건)까지 혜택을 받을 수 있다. 행사는 올해 말까지 운영된다.
권민 서울시 기후환경본부장은 “교통카드로 전기차 충전하는 것은 국내 최초로 교통카드 기반 간편결제를 도입한 혁신 사례”라며 “앞으로도 친환경 교통수단의 보급과 이용 편의 개선에 최선을 다하겠다”고 말했다.
A씨는 지난 4월 데이팅 앱에서 만난 외국인 B씨와 결혼을 약속했다. A씨는 “결혼자금을 마련해야 하니 가상자산거래소에 가입해 돈을 투자하자”는 B씨의 말을 듣고 1억원을 투자했다. 그러나 B씨는 하루에 5%씩 세금이 붙는다며 추가금을 요구했고 A씨가 추가금을 내지 않자 이별을 통보하고 잠적했다.
금융감독원은 2일 데이팅 앱·소셜미디어 등에서 연애를 할 것처럼 접근해 코인 투자를 유도한 뒤 잠적하는 이른바 ‘로맨스 스캠’이 늘고 있다며 유의하라고 안내했다.
금감원은 모르는 외국인이 소셜미디어에서 한국 여행을 계획 중이라며 접근하거나, 소셜미디어에서 만난 사람이 호감을 표시하며 결혼 등 미래를 약속하면서 투자금을 보내라고 할 때 유의해야 한다고 당부했다. 데이팅앱 등에서 멋진 외모의 전문직이 부를 과시하거나 가상투자로 돈을 버는 방법을 알려주겠다며 거래소 링크를 보내는 방식도 주의해야 한다고 했다.
특히 사기범들은 주로 인플루언서 사진 등을 도용해 매력적 이성으로 위장하고, 피해자와 일상 대화를 지속하면서 적극적으로 호감을 표시했다. 또 자신을 변호사·전문투자자 등 전문직에 종사하거나 거액 유산 상속자라고 소개하기도 했다. 피해자에게 가짜 가상자산거래소 가입과 소액 투자를 유도한 후 실제 수익이 발생한 것처럼 현혹했다. 피해자가 자금이 부족하거나 사기를 의심하면 이별을 통보하고 잠적했다.
금감원은 “데이팅앱, 소셜미디어 등을 통해 해외 가상자산거래소의 가입을 유도하는 경우 불법 업체일 가능성이 매우 높으므로 어떠한 거래도 하지 말라”고 당부했다.
금감원은 또 “해외 가상자산거래소라 하더라도 신고 없이 내국인을 대상으로 영업하면 불법”이라며 “금융정보분석원(FIU)에 미신고된 가상자산사업자는 사기 목적의 가짜 거래소일 가능성이 높으므로 반드시 신고 여부를 확인하라”고 말했다.
서경배 아모레퍼시픽그룹 회장의 차녀 서호정씨(30·사진)가 ‘오설록’에 입사했다.
3일 아모레퍼시픽에 따르면, 호정씨는 그룹 지주사인 아모레퍼시픽홀딩스의 자회사인 오설록 PD(Product Development·제품개발)팀에 지난 1일 신입사원으로 입사해 근무하고 있다.
그는 오설록에서 제품 개발과 마케팅 업무를 맡아 경험을 쌓아나갈 예정이다. 1995년생인 호정씨는 2018년 미국 코넬대학교 호텔경영학과를 졸업했으나 이후 회사 경영에는 참여하지 않았다.
오설록 입사를 두고 재계에서는 호정씨가 본격적으로 경영 수업을 받는 것으로 보고 있다. 서경배 회장의 장녀인 민정씨가 언론의 관심을 받은 적은 많았지만 호정씨가 화제가 된 적은 거의 없었다. 2023년 서 회장이 지분 2.5%를 호정씨에게 증여했으며, 석 달 후 이에 대한 증여세를 납부하기 위해 지분 0.16%를 매도했다는 공시 내용 정도만 알려진 바 있다.
반면 장녀 민정씨는 코넬대 경제학과를 졸업하고 베인앤드컴퍼니를 거쳐 2019년 아모레퍼시픽 뷰티영업전략팀에 입사하면서부터 유력한 후계자로 점쳐져왔다. 그는 2022년 1월부터 아모레퍼시픽 럭셔리 브랜드 디비전 AP팀에서 럭셔리 브랜드 마케팅을 담당했으나 2023년 7월부터 휴직 중이다.
서경배 회장은 슬하에 2녀를 두고 있다.
지난해 8월 에어컨 설치 작업 중 열사병으로 숨진 청년노동자 사건에 대해 고용노동부의 재수사를 촉구하는 목소리가 높아지고 있다.
민주노총광주본부와 광주전남노동안전보건지킴이 등은 1일 오전 광주지방고용노동청 앞에서 기자회견을 열고 “폭염 사망사고에 대해 철저하게 재조사하라”고 요구했다.
삼성전자 에어컨 설치 하청업체 소속이었던 양준혁씨(당시 27세)는 지난해 8월13일 폭염 속에서 전남 장성의 한 중학교 급식실에 시스템 에어컨을 설치하다 쓰러졌다. 입사 이틀 만이었다.
양씨가 열사병 증상을 보이며 쓰러졌는데도 회사 관계자들은 1시간가량 뒤 119에 신고했고, 양씨는 결국 숨졌다.
광주노동청은 해당 사건을 중대재해처벌법 위반 혐의 등으로 열 달 넘게 수사하다 최근 검찰의 지휘를 통해 ‘무혐의’ 처분했다.
이들 단체는 “폭염 속에 사망한 청년노동자의 사건에 대해 제대로 조사하지도 않고 회사에 면죄부를 줬다”면서 “사고 원인을 철저히 규명하고 재발 방지 대책을 마련할 것을 요구한다”고 밝혔다.
민주노동당 광주시당도 이날 성명을 내고 “폭염휴식권, 현장에서 무용지물인 작업중지권, 옥내 사업장 냉방시설 의무화 등 노동자 생명을 지키기 위한 과제들을 시급히 처리해야 한다”고 밝혔다.
광주청년유니온도 성명에서 “2024년 기준 폭염으로 인한 온열질환 산재 승인은 147건이며 사망사고는 22건”이라면서 “실효성 있는 구체적 재발 방지 대책이 필요하다”고 촉구했다.