SK텔레콤이 유심 해킹 공격에 대해 최초 인지 시점은 고객 정보 탈취를 인지한 지난 19일보다 하루 빨랐으며 사고 인지 24시간 이내에 신고해야 하는 규정을 위반한 것으로 파악됐다.
24일 국회 과학기술정보방송통신위원회 소속 최수진 의원(국민의힘)이 SK텔레콤으로부터 제출받은 자료에 따르면 SKT는 18일 오후 6시 9분 의도치 않게 사내 시스템 데이터가 움직였다는 사실을 처음으로 인지했다. 이어 같은 날 오후 11시 20분 악성코드를 발견해 해킹 공격을 당했다는 사실을 내부적으로 확인했으며 19일 오전 1시 40분 어떤 데이터가 빠져나갔는지 분석을 시작했다. 이후 어떤 종류의 데이터가 빠져나갔는지 분석한 끝에 같은 날 오후 11시 40분께 해커에 의한 악성 코드로 이용자 유심 관련 일부 정보가 유출된 정황을 확인했다.
SKT는 해킹 공격을 발견하고 한국인터넷진흥원(KISA)에 신고한 시점에서 지연 보고 의혹을 사고 있다. 최 의원실에 보고된 SKT의 KISA 보고 시점은 20일 오후 4시 46분으로 사건의 최초 인지 시점인 18일 오후 6시와 45시간 차이가 나기 때문이다. 해킹 공격으로 판단한 18일 오후 11시 20분을 기준으로 하더라도 만 하루를 넘긴 시점에 신고한 셈이다. 정보통신망법에 따르면 정보통신서비스 제공자는 침해사고가 발생한 것을 알게 된 때로부터 24시간 이내에 침해사고의 발생 일시, 원인이나 피해 내용 등을 과학기술정보통신부 장관이나 KISA에 신고해야 한다. 실제로 KISA는 최 의원실에 SKT가 24시간 내 해킹 공격을 보고해야 하는 규정을 위반했다고 밝힌 것으로 알려졌다. 이에 대해 SKT은 “사안의 중대성을 고려해 사이버 침해 사고 신고에 필요한 최소한의 발생 원인과 피해 내용을 좀 더 철저하게 파악하는 과정에서 신고가 늦어진 것이며 고의적인 지연 의도는 없었다”고 해명했다.
