[일문일답] SKT, 해킹 사고 수습에 1조원 투입…“가입자 신뢰 회복 우선”

▲류정환 SKT 네트워크인프라센터장, 유영상 SKT 대표, 임봉호 이동통신(MNO)사업부장(왼쪽부터)이 4일 오후 서울 중구 을지로 SKT타워 수펙스홀에서 열린 기자간담회에서 취재진과 질의응답을 갖고 있다. 사진=이태민 기자

유영상 SK텔레콤 대표가 4일 오후 서울 중구 을지로 SKT타워 수펙스홀에서 기자간담회를 열고 고객 보상안과 정보보호 혁신안을 발표했다.

8월 요금 50% 할인·매월 데이터 50기가바이트(GB) 추가 제공 등 5000억원 규모의 '고객 감사 패키지'와 함께 향후 5년 동안 보안 체계 강화에 총 7000억원을 투자하는 게 골자다.

유 대표는 이같은 조치가 단기 실적에 미치는 영향이 적잖지만, 중장기적 관점에선 가입자 신뢰 회복에 긍정적인 영향을 미칠 것으로 판단했다고 설명했다. 아울러 정보보호 전문 인력 확충 방안과 대리점 지원 계획, 인공지능(AI) 사업 투자 계획 등도 공유했다. 다음은 유 대표, 류정환 네트워크인프라센터장, 임봉호 이동통신(MNO)사업부장과의 일문일답.

▲위약금 면제 시점을 이달 14일까지로 설정한 이유가 궁금하다.

-(유영상 대표) 사실 위약금 면제 시점을 언제까지 지정할 것인지에 대한 내부적인 고민이 많았다. 사고 이후 많은 고객(88만5338명)이 이탈했다. 가입자 불안이 높아지는 점을 고려해 유심보호서비스 업그레이드·교체 작업 등을 순차적으로 진행했고, 현재는 대다수 진행돼 고객 불안 요인이 많이 해소됐다고 판단한다. 그렇지만 여전히 불편을 느끼거나, 번호이동을 희망하는 가입자들이 있을 가능성 등을 고려해 현 시점에서 10일 정도 연장한 기간인 7월 14일로 정했다.

-(임봉호 MNO사업부장) 위약금 면제를 신청하면 일주일 이내에 환급 계좌로 송금할 예정이다. 다만, 이미 해지를 완료해 환급 신청 관련 안내를 수신하지 못하는 가입자들이 있다. 과기정통부에 협조를 구해야 하는 부분이 있는데, 협의가 완료되는 즉시 MMS로 안내할 예정이다. 최대한 환급될 수 있도록 하겠다.

▲신규영업 중단(5월 5일~6월 23일)으로 피해를 본 대리점에 대한 추가 보상안은?

-(임 사업부장) 해당 기간 동안의 매장당 예상 판매량 계산을 계산해 건당 평균 마진(이윤) 15만원을 지원하기로 결정했다. 이외에도 여러 차례 간담회를 통해 청취한 결과, 유심 교체 중심 영업 등을 통한 어려움이 있음을 확인해 신규영업 지원 금액의 50% 수준을 추가 지원키로 했다. 전체 지원 금액은 대리점별로 개별 전달됐으며, 이달 말 일괄 지급할 계획이다.

▲이번 조치가 회사 실적에 미치는 영향이 적지 않을 것 같은데, 지불 금액을 어느 정도로 예상하나? 지난 5월 국회 청문회에서 “향후 3년 동안 6~7조원 규모의 손실이 예상된다"고 발언한 바 있는데, 여전히 유효하다고 생각하는가?

-(유 대표) 위약금 면제는 회사 입장에선 굉장히 큰 결정이고, 막대한 손실이 예상되는 일이다. 그럼에도 불구하고, 단기 매출보단 장기적으로 보안 강화를 통한 고객 신뢰 회복이 더 중요하다고 생각했다. 이사회에서 △정부 발표 결과 △내부 법률 검토 △가입자·시장 영향 △가입자 신뢰 등 장기적 관점에서 기업 가치에 미치는 영향을 종합 고려해 시행키로 했다.

당시 발언의 경우, 2차 피해에 대한 불안감이 고조돼 가입자 이탈이 본격화하던 시기였다. 그런 만큼 매출 손실 기간과 규모 또한 예측할 수 없는 상황이었다. 현재도 가입자 이탈 가능성은 높지만, 전격적으로 위약금 면제를 시행해 가입자들의 고충을 수렴키로 했다.

▲이번 결정에 따라 AI 투자 비중이 줄어들 것 같다. 에이닷(AI 통화 비서) 유료화 시점도 미뤄지나?

-(유 대표) 사실 뼈아픈 대목이다. 글로벌 진출 영역을 확장하기 위해 AI에 전사적으로 자원을 투입하던 와중 사고가 발생하면서 일정 수준의 선택과 집중이 불가피한 상황이 됐다. 그럼에도 SKT의 미래는 AI에 있다고 생각하기 때문에 투자를 지속할 예정이다. 지난번 울산 사례와 같이 국내 최대 규모 AI DC를 구축·투자하는 프로젝트를 다수 진행 중이다. 시간이 다소 걸리겠지만 통신·AI 둘 다 잘하는 회사로 변화하는 모습을 보여드리겠다.

▲전날(3일) 상법 개정안이 통과되면서 이사회의 주주 충실 의무가 발효된다. 가입자-주주 간 이익이 충돌할 수 있는 상황인데, 이사회의 이번 결정은 가입자 보호를 우선순위로 놓은 것인가?

-(유 대표) 단기적으로는 주주 이익에 반할 수 있겠지만, 장기적으로는 회사와 주주 이익에 부합하다고 판단한다. 가입자 보상과 위약금 면제, 정보보호 투자 등을 하지 않으면 단기 실적은 좋아지겠지만, 가입자 신뢰를 얻기 어려울 것이다. 그렇게 되면 더 많은 가입자 이탈이 발생하고, 실적 하락이 이어지면서 기업 가치 또한 떨어지게 된다. 따라서 이번 결정은 중장기적 관점에서 모두를 위한 이익이 될 것이라고 이사회는 판단했다.

▲2022년 해커 침입 사실을 파악했을 때 은폐하지 않았다면 이번 사고를 방지할 수 있었을 듯하다. 당시 왜 그런 결정을 내렸나?

-(유 대표) 당시 담당 부서에서 내부 관행에 따라 망(네트워크) 장애가 발생하지 않도록 악성 인터넷주소(IP)를 긴급히 대응 조치했다. 개인정보 유출과 같은 피해가 없다고 판단했지만, 담당자가 이를 법적 신고 대상인지를 미처 검토하지 못한 것으로 보인다. 향후 사업 신고 관련 교육 및 대응 매뉴얼을 강화하겠다.

-(류정환 네트워크인프라센터장) 공급망 보안은 굉장히 중요한데, 회사가 놓친 부분이 있었음을 인정한다. 협력사 소프트웨어 문제는 초기 감염과 관련됐으나 활성화 증거는 찾지 못했다. 합조단은 이 부분이 전체 해킹 사고와는 관련이 없다고 봤다. 공급망 보안 프로세스를 재검토하고 정보보호 체계를 전반적으로 강화해 이러한 일이 다시 발생하지 않도록 조치하겠다.

▲2차 조사 결과 당시 자체적으로 통화세부기록(CDR)이 저장된 서버가 암호화됐다고 밝힌 바 있는데, 오늘 정부 조사 결과를 보면 다소 상반된 부분이 있는 것 같다.

-(류 센터장) SKT의 CDR 데이터는 마스킹 처리 등을 통해 1차적으로 보호되고 있었다. 이 때문에 '암호화'라는 표현을 사용했는데, 데이터를 임시적으로 활용하는 일부 서버에는 평문으로 저장돼 있었음을 인정한다. 이 부분은 현재 마스킹 처리가 돼 있다. 앞으로 CDR 데이터까지 보안 수준을 높여 더 높은 암호화 체계를 구축할 수 있도록 혁신안에 포함시키겠다.

▲과기정통부의 자료 보전 명령에도 불구하고 SKT의 서버 2대를 임의 조치해 포렌식 분석이 불가능하게 한 배경과 지시 주체가 누구인지 궁금하다.

-(유 대표) 4월 21일 담당 부서에서 서버 감염 사실을 발견한 후 과기정통부의 자료 보전 명령이 전달되기 전에 긴급 복구 과정에서 초기화하는 실수를 범했다. 당시 담당자가 명령 사실을 알지 못한 채 피해 확산 방지를 위해 서버를 초기화한 것으로 확인됐다. 고의적인 시스템 은폐 의도가 있었던 건 아니다. SK텔레콤은 내부 자료를 모두 투명하게 제출했으며, 이 부분은 명백히 잘못된 부분임을 인정한다. 리스크 관리 체계 및 매뉴얼을 재점검·보완하겠다.

▲합조단에 따르면 해커가 침입한 최초 시점은 2021년 8월로 보이는데, 약 4년이 지난 현 시점에서 해킹을 인지하고 신고한 이유는?

-(류 센터장) 침투 사실을 당시엔 인지하지 못했다. 회사 보안 체계가 주로 경계방어 중심이었기 때문이다. 외부 서버에 백신 설치와 같은 보안 체계를 갖추지 못했기에 인지가 늦어졌다. 모의 침투 테스트 기반으로 경계방어 및 침투 후 행적 이동을 추적할 수 있도록 보안 체계를 강화할 것이다.

▲정보보호 전문 인력 충원 대책과 현재 영입된 인원 수는?

-(유 대표) 과거 정보보호 전문 인력 중 아웃소싱 인력 비중이 높았던 게 사실이며, 장단점이 있었다. 이번 사고를 겪으며 내부 인력 증대 필요성을 크게 느꼈고, 합조단 시정조치에 맞게 시행하려 한다. 정보보호 전문 인력은 현재의 약 2배 수준인 150명 수준으로 확대하고, 역량을 강화할 계획이다. 기존 내부 인력에 대한 전환 조치와 더불어 우수 인재를 외부에서 영입하는 방식을 병행할 계획이다.

▲정보보호 투자 규모는 SKT·SK브로드밴드를 합친 금액인가?

-(유 대표) 7000억원은 SK텔레콤과 SK브로드밴드의 합산 투자 규모다. 양사는 법인 분리가 돼 있어 통계상 오해가 종종 발생한다. 가능한 모든 것을 합산해 말씀드리고 싶지만 법인이 분리돼 있어 통계 산정 시 달라지는 요소가 있음을 양해해 달라고 요청했다. 법적으로는 분리돼 있지만, 이번에 새로 영입한 이종현 신임 정보보호최고책임자(CISO)가 두 회사의 정보기술(IT)·네트워크 전체를 아우르는 조직을 총괄할 예정이다.

이태민 기자 etm@ekn.kr