확정되지 않은 정보 공개가 국민 불안 키운다[기자수첩]

[이데일리 임유경 기자] “국민 불안은 더 커질 겁니다. SK텔레콤의 사태 수습도 더 어려워지겠죠.” SK텔레콤 유심(USIM) 정보 해킹 사고를 조사 중인 민관합동조사단의 중간(2차) 발표를 두고, 한 보안 전문가는 이같이 우려를 표했다.

정부가 “모든 정보를 투명하게 공개하겠다”는 원칙 아래 확인되지 않은 가능성까지 포함해 발표한 것이 오히려 불안을 확산시켰다는 지적이다.

과학기술정보통신부는 지난 19일 악성코드가 확인된 23대 서버 중 2대에서 단말기식별번호(IMEI)가 잠시 저장됐던 사실을 공개하면서 해당 정보의 유출 여부는 “확인할 수 없다”고 밝혔다.

IMEI는 휴대폰 복제와 직결되는 민감한 정보로, 유출 가능성 자체만으로도 국민적 불안을 키울 수 있는 사안이다.

결과적으로 정부는 “유출됐을 수도 있고, 아닐 수도 있다”는 모호한 메시지를 공식 발표한 셈이 됐고, 이는 사태 해결에는 도움이 되지 않는다는 비판이 이어지고 있다.

최우혁 과학기술정보통신부 정보보호네트워크정책관이 19일 정부서울청사에서 SKT 침해사고 관련 민관합동조사단 중간 조사 결과를 발표하고 있다.(사진=뉴시스)

IMEI는 휴대폰 단말기에 부여된 15자리 고유번호다. 그동안 정부와 SK텔레콤은 IMEI 정보는 이번 해킹에서 유출되지 않았으며, IMEI 정보 없이 복제폰 활성화는 불가능하다고 설명해 왔다. 통신사는 사용자 단말기가 네트워크에 접속을 시도할 때 이 IMEI와 유심에 저장된 가입자식별번호인 IMSI가 모두 등록된 것과 일치할 때만 네트워크 접속을 허용했기 때문이라는 설명도 덧붙였다. 그런데 정부의 이번 중간 발표로 IMEI가 유출된 것 아닌지하는 우려과 복제폰에 대한 공포가 다시 확산하게 생겼다.

정부는 왜 이런 모호한 이야기를 했을까. 조사단이 현재 확인할 수 있는 ‘팩트’에 한계가 있기 때문으로 보인다. 문제의 서버는 데이터를 데이터베이스(DB)에서 요청을 받아 IMEI 등의 정보를 임시로 저장하고 일정 기간이 지나면 정보를 자동 삭제하는 식으로 작동한다. 따라서 조사단이 현재 확인할 수 있는 정보는 방화벽 로그뿐인데 해당 로그는 관련 법령에 따라 작년 12월부터 올해 4월까지 5개월치 만 남아 있었다. 조사단은 이 기간 29만건의 IMEI가 해당 서버에 저장돼 있었지만 정보 유출은 없었음을 확인했다. 하지만, 최초 악성코드가 설치된 시점인 2022년 6월 이후 로그 기록이 없는 약 2년5개월간에 대해선 조사단이 확인할 수 없는 사안인 셈이다.

그동안 자사 서버에서 이상 흐름을 계속 추적해 온 SK텔레콤은 IMEI 유출이 없었다고 확신했다. 은닉성이 강한 악성코드의 침투를 탐지하긴 어려워도 서버에서 파일이 이동하거나 외부로 나갔을 때는 즉시 센싱(감지)된다는 설명이다. SK텔레콤이 이번 유심 정보 유출 사고를 즉시 인지하고 신고한 것도 자료 유출 감지 시스템은 제대로 작동하고 있다는 증거라고 볼 수 있다. 또 로그 기록이 없는 기간에 복제폰, 유심 복제 관련 고객 민원이 없었고 다크웹에도 관련 동향이 없었다는 것도 IMEI 유출이 없었음을 뒷받침한다는 설명이다.

류제명 과기정통부 네트워크실장은 이번 해킹 사태 대응의 원칙에 대해 “조사는 철저히, 모든 과정은 투명하게, 불가피한 경우가 아니라면 국민들께 먼저 알리는 것”이라고 말했다.

이런 원칙을 세운 건 아마 국회에서 과기정통부가 이번 사태와 관련해 정보를 은폐· 축소하려 한다고 몰아부치고 있는 것과도 무관치 않아 보인다.

하지만 국민에게 정보를 투명하게 공개하겠다는 취지가 좋더라도 현 시점에서 확인할 수 없는 부분까지 정부가 언급하는 것이 바람직한가 의문이다. 확정되지 않은 정보를 정부가 공식적으로 언급하는 방식이 과연 재발 방지와 신뢰 회복에 도움이 되는지 돌아볼 필요가 있다.