[사사건건] 100% 피해 보상한다는데, 사실일까?

■ 방송시간 : 4월 28일(월) 16:00~17:00 KBS1
■ 진행 : 김용준 기자
■ 출연 : 함석천 / 변호사


https://youtu.be/lxpNhCrAU1g

◎김용준: 해킹 사고 개인정보가 어떻게 도용될까 불안감이 가득한데 후속 조치마저도 사고에 가깝습니다. SK텔레콤 유심 무상 교체 첫날인 오늘 그야말로 유심 대란이었습니다. 대리점에 일찍부터 줄 섰다가 허탕친 분들 많으시죠 이 얘기 집중적으로 해보겠습니다. 전 서울중앙지법 부장판사이자 지식재산 사건 전문 변호사인 함석천 변호사입니다. 어서 오십시오. 저희 KBS에도 이 답답한 상황과 관련해서 참 시청자분들의 하소연이 끊이지 않았는데 먼저 그분들의 목소리 잠깐 듣고 말씀 나누겠습니다.

<녹취> 안복의 / 시청자
제가 봤을 때 기본 아무리 못해도 100명 이상은 나와 있을 것 같은데, 아무리 못해도. 그런데 유심이 없다는 거예요. 그러면 어제 그걸 확보를 못 했으면은, 그래도 이렇게 앞에다 뭘 해도 써 붙여주는 게 예의잖아요. 지금 나라가 다 지금 난리인데... 자기가 사인을 조그맣게 해서 번호(표)를 주는 거예요.

<녹취> 이재선 / 시청자
고객센터는 고객센터대로 전화가 안 되고. 그다음에, 인터넷에 들어와 보니까 인터넷 폭주라고 그러고. 그러니까 이 사람들 전혀 해결할 생각을 안 하는 거 같아.

<녹취> 익명 / 시청자
업무를 하는 인원도 그냥 단둘이 앉아서 그렇게 하니 얼마나 오래 걸리겠어요. 상당히 많은 사람들이 땡볕에서 계속 도롯가에서 기다리면서 먼지와 바람과 햇빛 속에서 고통받고 있어요.

◎김용준: 지금 몇 분만 저희가 목소리를 들었는데 이렇게 불편이 가득합니다. 변호사님 지금 SK텔레콤 가입자 대비 유심 수량. 일단 이 자체가 극히 부족하다고 하던데요.

▼함석천: 빨리 바꿔줘야 할 것 같습니다. 그리고 그 불편은 나중에 이제 합동조사단에서 어떤 결과가 나오든 그걸 기다리거나 아니면 거기에 협조를 하기 위해서 더 시간을 더 지체하거나 하기보다는 정말 국민의 마음. 한 반 정도는 지금 쓰고 있는 거 아니겠습니까?

◎김용준: 그러니까요. 2,500만 명이라고 하더라고요. 가입자 수가.

▼함석천: 그렇기 때문에 전 국민이 다 이해 관계인이라고 생각을 하시고 회사 쪽에서는 조금 더 적극적으로 그리고 마음을 풀어주는 쪽으로, 안심하는 쪽으로 비용을 더 들여서라도 그렇게 좀 대처를 해 주시는 게 바람직할 거라고 생각합니다.

◎김용준: 지금 보니까 상황이 이렇게 되니까 SKT 측에서 유심 교체 예약 시스템 이거를 운영하고 있는데 이것도 지금 접속량이 폭주하면서 예약 자체가 쉽지 않다고 합니다. 이렇게 어렵게 예약 신청을 해도 정확한 날짜 언제 오시라, 몇 시에 준다. 이런 거는 또 추후에 알려준다고 하는 상황이다 보니까 SKT 측에서 되게 자신했습니다. 변호사님 피해가 생기면 100% 책임지겠다. 이 100% 책임지겠다는 게 대체 뭘까. 어디까지가 100%인가. 예를 들면 계좌에서 돈이 사라졌다는 피해 보도도 있던데 이런 것까지 다 포함해서 배상하겠다는 건지 이게 가능한 얘기인가요?

▼함석천: 간단하게 좀 설명을 드리겠습니다. 유심은 이제 해외에서는 보통 심이라고 얘기를 하고 우리는 유니버설이라고 하는 단어를 붙여가지고 유심이라고 얘기를 하는데 이게 휴대전화용 IC 카드라고 보시면 됩니다. 지금 신용카드 쓰실 때 거의 칩들이 다 붙어 있잖아요. 그거하고 유사한 기능을 하는 거죠. 우선은 통신을 하려면 우리는 이제 전 세계에서 처음으로 CDMA 방식이라고 하는 복호 분할이라고 하는 좀 어려운 말을 쓰는데 ‘더 플라이’라는 옛날 영화가 있었어요. 분자 분해를 해가지고 저쪽으로 보내버리는 거죠. 그런데 우리가 쓰는 거는 눈에 보이지 않는 정보 아닙니까? 그 정보를 갖다가 이제 숫자로 바꿔가지고 쪼개는 겁니다. 그래가지고 보내는 거죠. 그러면 저쪽에서 받아가지고 모아요. 그리고 그걸 보는 겁니다. 그러면 그 많은 일들을 어떻게 다 하느냐. 뭐 그거는 전기가 1초에 지구를 7바퀴 반을 돌기 때문에 그 정도 정보통신은 지금 우리는 충분히 다 해낼 수 있는 그런 상황입니다. 그렇게 되면 서로 이제 복호 분할을 하는 그런 규약, 언어가 있어야 됩니다. IC 카드를 꽂잖아요. 그러면 그걸 읽어야 되고 그럼 이제 그 IC 카드가 정당한 건지 그러니까 인증이라고 하는 건데요. 그게 정당하게 나온 건지 그리고 그 정보가 정확한 건지를 합치가 되는지를 보고 서로 이제 언어 소통을 하게 되죠. 우리 지금 한국말로 얘기하고 있지 않습니까? 똑같은 그런 규약으로 언어 소통을 하고 그러면 이제 그걸 갖다가 저쪽에다 보내고 그렇게 해서 통신을 맺어주는 그런 역할을 하는 게 유심의 시작인 겁니다.

◎김용준: 그러면 거의 정말 우리가 소통할 수 있는 휴대전화 단말기에 대부분의 기능들을 할 수 있게 해 주는 핵심적인 어떤 부품인데 지금 피해가 생기면 100% 책임지겠다는 게 가능한 부분인가요?

▼함석천: 반은 맞고 반은 틀린 것 같습니다. 왜 그러냐 하면 회사 측에서도 지금 우선 유심 안에 담겨 있는 정보는 전화번호하고 데이터 요금제에 관한 그런 기본 정보들이 담겨 있습니다. 개인 식별 정보라고 하죠. 개인정보보호위원회에서 주로 보호를 하고 요새 굉장히 핫한, 전 세계적으로 핫한 개인정보보호의 기본이 되는 개인 식별 정보는 정확하게는 유심에 다 담겨 있지는 않습니다. 전화번호에다가 이제 여러분들 금융 서비스를 이용하거나 아니면 어디 가입을 하거나 사이트에 하실 때 잘 생각을 해보시면 단계가 있어요. 이름 넣어야 되죠. 그다음에 생년월일, 조금 더 엄중하게는 주민등록번호 그것도 암호화가 되는 거죠. 이제 주소도 넣고 이런 것들로 식별을 하지 않습니까? 이게 개인 식별 정보인데 그런 것들이 유심에 담겨 있지는 않습니다.

◎김용준: 그렇군요. 그러면 피해 범위가 어디까지인지 나중에 재단을 해서 안 들어간 것에 대한 피해를 본 것은 우리 SKT에서 책임을 안 질 테고 들어간 것에 대한 피해가 나오면 책임을 질 테고 그렇게 예상은 되는데 또 하나가요. 정부에서 지금 SKT에 과징금을 매긴다거나 피해자들에게 배상금을 내게 한다거나 하는 이런 법적 절차를 묻는 것도 예상이 되는 부분인가요?

▼함석천: 아마 당연히 그런 수순을 밟게 될 겁니다. 그런데 다만 그 전에 합동 조사 결과가 나와야 할 것이고 그 합동 조사 결과에 따라서 지금 굉장히 보안에 관한 고시들이 계속 아주 촘촘하게 시기적으로나 내용상으로나 촘촘하게 이거 해라 저거 해라, 이거 해라 저거 해라 그래서 고시들이 계속 나오고 있어요. 고시 내용에 따른 그 절차를 잘 이행했느냐를 파악을 하는 그런 과정이 있을 겁니다. 그 후에 이제 과징금이나 이런 절차가 나오게 될 거고요. 보통은 지금 그런 결과를 반영을 해서 과징금이나 이런 것들을 매기게 되겠지만 여태까지의 경험상 현재 구글, 메타. 페이스북이죠? 메타. 그리고 카카오 등을 상대로 해서 개인정보보호위원회나 아니면 과기정통부 등등에서 과징금이죠. 과징금을 부과한 사건들은 제법 있고요. 사실은 그 피해 정도로 따지자면 이게 어떤 결과가 나올지는 아직 모르겠습니다만 여기서 나오는 어떤 피해 결과나 이런 걸 대비를 해서 아마 비교를 하게 될 텐데 지금 퍼져 있는 인식으로는 그것보다는 조금 더 엄중하지 않겠느냐 하는 생각 그런 인식들이 퍼져 있는 것 같습니다.

◎김용준: 큰 피해가 없기를 바라보겠습니다. 그리고 지금 안내하는 내용들 보니까 유심 교체 지금 대기하는 기다리는 기간에 먼저 유심 보호 서비스를 가입해 달라라고 공지를 하더라고요. 이게 유심 교체 효과와 같다. 그러면 유심 보호 서비스만 가입하면 안심인 건지, 그럼 굳이 유심 교체할 이유가 없을 텐데 이 지금 유심 보호랑 유심 교체의 차이 이게 뭔가요?

▼함석천: 약간 조금 그 과정을 설명을 드리면요. 2022년에 LG유플러스의 심 스와핑이라고 하는 사건이 있었습니다. 그거는 조금 어떤 물리적인 힘이 가해져야 하는, 훔치는 거죠. 빼가지고 그걸 이제 순식간에 이제 내 거에다가 집어넣고 도용하는 그런 거였습니다. 그 후에 나온 게 뭐냐 하면 FDS라고 그래서 프로드 디텍션 시스템이라고 하는 소프트웨어만 어떤 시스템을 만듭니다. 프로드가 들어가는 건 이제 사기. 사기 방지용 이상한 그런 행동이 어떤 프로그램적인 이상이 발견이 되면 바로 차단을 해버리는 그런 서비스라고 보시면 되는데 여기까지는 유심 보호 시스템은 아닙니다. 그런데 여기서 한 발짝 더 나아갔다고 해야 할지 어떨지 모르겠는데 아주 극단적인 조치라고 저는 생각을 하는데 유심 보호 시스템은 유심하고 단말기를 용접을 해버렸다. 저는 그냥 이렇게 생각하시면... 이렇게 설명을 해드리면 될 것 같아요. 붙여버린 거예요. 단말기하고 유심의 정보를 붙여가지고 그거를 만약에 뗀다 그러면 작동을 안 하는.

◎김용준: 그런 원리군요.

▼함석천: 떼가지고 이리저리 옮길 수 있는 게 아니고요. 그래서 아마 이용자들께서 공지를 보고 유심 보호 서비스를 가입을 하려면 뭐 해지해라고 한 3~4개 정도 무료 서비스를 해지를 한 기억이 나실 거예요. 그걸 해야 들어갈 수 있게 만드는데 그건 주로 로밍이나 데이터 로밍과 관련됐던 그런 부가 서비스들이 있을 거예요. 그런데 그런 것들을 이제 해지를 해야 되는 이유는 붙여버리기 위한 겁니다. 그래서 그거를 갖다가 용접을 다시 떼내고 쉽게 말하면 그게 가입이 돼 있는 상태에서는 전화기 단말기를 바꾸기가 어렵거나 불가능해집니다.

◎김용준: 그 원리군요. 지금 말씀하신 것처럼 유심을 교체 안 하면 범죄자들이 유심 정보를 이용해서 심 스와핑을 할 수 있다고 하고. 그리고 지금 피싱하고 스미싱 공격도 등장하는 상황인데 여기에도 주의가 필요한지 궁금합니다.

▼함석천: 아까 처음에 주셨던 질문에 대해서 조금 더 연장해서 설명을 드리면요. 심 스와핑은 사실은 이렇게 어떤 물리적인 힘이 가해져서 절도를 전제로 하는 그런 거기 때문에 약간 이 사안하고는 좀 맞지 않을 수는 있고요. 유심칩 안에 들어 있는 것만 가지고 개인 식별 정보다라고 초창기에, 아주 초창기에 법원도 이제 IP나 지식재산 쪽에 조금 더 공부를 해야 되는 시기에는 그런 적이 있었는데 지금은 그렇게 섣불리 얘기하지는 않습니다. 그 안에는 왜냐하면 전화 정보나 데이터 요금제에 관한 사업상 필요한 것들이 그런 것들만 담고 있기 때문에 그런데 이제 시민들께서 그리고 우리 국민이 공포심을 느끼고 있는 건 뭐냐 하면 그 전에 2014년. 주기적으로 하여간에 KT부터 시작해가지고 LG유플러스. SKT도 있었던 것 같습니다만 정확하게는 잘 모르겠습니다. 팩트 체크를 위해서 제가 그 부분을 조금 삼가고 이름, 전화번호, 생년월일. 이런 것들이, 이런 정보들이 한꺼번에 유출됐던 적이 있어요. 누군가는 지금 가지고 있다는 겁니다. 그런데 그사이에 주민등록번호나 이름 같은 건 변경이 되지 않았어요. 그럼 그런 정보하고 유심에 담겨 있는 전화번호나 데이터 정보 인증값, 인증 키를 가지고 있어요. 그 유심에. 그런 거 하고 결합이 되면...이제 이렇게 생각하시면 됩니다. 한 단말기에 유심이 하나 꽂혀 있으면 다른 데에서 그 유심을 갖다 꽂아놓고 쓸 수가 없어요. 그리고 만약에 한 단말기에 있는 인증값, 인증 키가 동일한 유심을 갖다가 이쪽에다 꽂아버리면, 복사를 하든지 해서 인지를 해버립니다. 서버에서 그러면 이쪽 거 그래가지고 알려주거나 차단을 해버리는 그런 시스템이 아까 FDS나 아니면 안심 서비스인데 이제 그런 상황에서 유심만 가지고는 이렇게 다 조리를 할 수 없지만 기존에 해킹에 의해서 정보들을 결합할 경우에는 조금 무서운 결과가 나타날 수도 있습니다.

◎김용준: 우려할 수 있는 상황이 있을 수도 있다.

▼함석천: 그런데 하지만 그런 공포심이 현재 굉장히 있는 거고 그게 언제 어디서 나타나게 될지 모른다는 공포심이 큰 건데 현재까지 SKT에서 확인한 바로는 아직까지는 그런 피해는 없다든지 아까 말씀 주신 대로 가짜 뉴스일 가능성이 크다든지 하는 그런 정도는 지금 정보는 지금 돌고 있어서 조금 안심을 해도 되지만 그런 공포는 여전히 존재하고 있다.

◎김용준: 그렇죠. 이번 해킹 사태 BPF 도어 수법이 사용된 것으로 알려지고 있는데 이게 뭐 중국 해커들이 자주 사용하는 수법이라고 하더라고요. 이게 무슨 수법인 건가요?

▼함석천: 보안 체계에 대해서 오픈 소스를 사용하는 리눅스 체계에서 주로 문제가 됐던 걸로 알고 있습니다. 현재 주변에 보면 다 마이크로소프트만 쓰고 있거나 아니면 애플. iOS를 쓰고 있거나 그 정도라고만 알고 계시지만 사실은 이공계에 종사하시는 분들이나 그쪽 분들은 오픈 소스인 리눅스를 많이 쓰고 계세요. 생각보다 많이 쓰고 계시고요. 그리고 그쪽으로 이제 조금 뒷문을 열고 타고 들어오는 시스템이다 이렇게 이해하시면 됩니다. 그러니까 집이 있으면 컴퓨터, 저도 노트북 이거 가지고 있잖아요. 노트북이라는 집을 가지고 있는데 들어가는 방법은 이거 딱 키 눌러가지고 들어가면 되는데 집을 생각을 해 보시면 정문도 있고 후문도 있고 측면도 있고 창문도 있고 많이 있단 말입니다. 들어갈 수 있는 구멍을 많이 만들 수 있어요. 똑같아요. 그런 식의 오픈 소스는 아무래도 어떤 중심이 돼서 그런 어떤 보안이나 이런 걸 갖다가 계속 업데이트를 하거나 공격을 받았을 때 그걸 차단하는 그런 서비스들을 알아서들 해결을 하셔야 되기 때문에 이제 그런 것들이 좀 취약할 수는 있습니다. 하지만 이런 개념이 MS나 아니면 저기 애플 매킨토시 iOS나 이런 데서는 불가능하다라고 하는 장담을 할 수는 있을까 하는 생각은 그거는 딱히 이렇게 100% 그렇다고 얘기하기에는 곤란할 수 있습니다.

◎김용준: 마지막으로 지금 SK텔레콤 가입자들이 집단 소송도 준비하고 있다고 하던데 이게 유심만 교체한다고 해서 문제가 해결될지 이게 또 의문이거든요.

▼함석천: 그게 사실 제일 큰 공포심 중에 하나죠. 그런데 유심을 교체를 해서 해결이 될 수 있도록 회사나 여기는 아마 과기정통부를 비롯한 정부, 정부도 좀 관여를 하셔야 될 것 같고 관심을 가지셔야 될 것 같고요. 만약에 해결이 안 된다면 전체적인 시스템을 다시 한번 조금 바라봐야 할 필요는 있을 것 같습니다. 즉 우리가 처음에 복구 분할 방식인 CDMA라고 하는 것을 전 세계에서 처음으로 받아들이면서 우려가 많았어요. 그리고 나서 사실은 유심이 등장한 것은 3G라고 알고 있는 3 WCDMA라고 하는 시스템으로 가면서 나타나게 된 거거든요. 그런 것처럼 시스템에 대한 재정비 이런 것도 생각을 해봐야 될 수도 있습니다.

◎김용준: 꼭 통신사의 어떤 조치에만 맡길 게 아니다. 기관도 합쳐야 한다는 말씀인 것 같습니다. 지금까지 전 서울중앙지법 부장판사이자 지식재산 사건 전문 변호사인 함석천 변호사 SKT 해킹 대란에 대해서 이야기 나눴습니다. 고맙습니다. SKT의 해킹 사고 이후에 2,500만 소비자들을 달래기 위해서 일부 대리점에서는 대규모로 지원금을 주거나 최신 스마트폰을 공짜로 주고 있다고 합니다. 사고 이후에 미흡한 후속 조치로 고객 대응의 뭇매를 맞으면서도 혜택을 미끼로 가입자를 잡아두려는 대응 방식에 또 한 번 눈살을 찌푸린 분들이 많습니다. 4월 28일 월요일 사사건건 여기까지입니다. 시청해 주신 여러분 고맙습니다.