쿠팡 퀵플렉스 지난 4월 유심(USIM)정보 해킹 사고를 겪은 SK텔레콤이 약 1350억원에 달하는 과징금을 맞게 됐다. 개인정보보호위원회(개인정보위)는 지난 27일 제18회 전체회의를 열고 개인정보보호법을 위반한 SK텔레콤에 대해 과징금 1347억9100만원, 과태료 960만원을 부과하기로 의결했다고 밝혔다.이번에 부과한 금액은 개인정보위가 부과한 역대 과징금 중 최대 규모로, 당초 최대 예상치로 여겨졌던 3500억원의 3분의 1 수준이다. 개보위는 전체회의 당시 사업자가 출석해 의견을 개진하고, 질의·응답 등의 절차를 거친 후 최종 처분안을 확정했다고 밝혔다.개인정보위는 해킹 사고 보고 직후인 지난 4월 22일부터 한국인터넷진흥원(KISA)와 14인으로 구성된 태스크포스(TF)를 구성하고 SKT의 유심 정보 유출 건 조사에 착수한 바 있다. 현장조사, 서면조사 및 디지털 증거수집 등을 통해 SK텔레콤의 주요 개인정보처리시스템을 대상으로 유출여부, 유출 규모, 보호법상 안전조치의무 준수 여부를 집중적으로 조사했다.개인정보위는 조사 결과 LTE·5G 서비스 전체 이용자와 알뜰폰 이용자 2324만4649명의 전화번호, 가입자식별번호(IMSI), 유심 인증키 등 25종의 정보가 유출된 것으로 확인됐다고 밝혔다.개인정보위는 "이번 사고가 SKT의 기본적인 보안 조치 미비와 관리 소홀로 인해 발생한 것으로 확인됐다"며 "기본적인 접근통제조차 이행하지 않아 인터넷과 내부망 사이의 보안 운영 환경이 해커의 불법적인 침입에 매우 취약한 상태로 관리·운영되고 있었다"고 설명했다.특히 인터넷·관리·코어·사내망을 동일한 네트워크로 연결하여 운영하면서 국내외 인터넷망에서 SK텔레콤 내부 관리망 서버로의 접근을 제한없이 허용했다는 점을 문제로 꼽았다. 개인정보위는 "관리망 서버는 이번 유출 사고가 발생한 가입자인증시스템(HSS)와 상호접속이 불필요함에도 이를 허용했다"며 "이를 통해 해커가 HSS까지 접속해 데이터베이스(DB) 내 저장된 유심 정보 등을 외부로 전송할 수 있었다"고 했다.이어 SK텔레콤이 침입탐지 시스템의 이상행위 로그를 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치도 소홀히 했다고 발표했다. 개인정보위는 "2022년 2월 해커가 HSS 서버지난 4월 유심(USIM)정보 해킹 사고를 겪은 SK텔레콤이 약 1350억원에 달하는 과징금을 맞게 됐다. 개인정보보호위원회(개인정보위)는 지난 27일 제18회 전체회의를 열고 개인정보보호법을 위반한 SK텔레콤에 대해 과징금 1347억9100만원, 과태료 960만원을 부과하기로 의결했다고 밝혔다.이번에 부과한 금액은 개인정보위가 부과한 역대 과징금 중 최대 규모로, 당초 최대 예상치로 여겨졌던 3500억원의 3분의 1 수준이다. 개보위는 전체회의 당시 사업자가 출석해 의견을 개진하고, 질의·응답 등의 절차를 거친 후 최종 처분안을 확정했다고 밝혔다.개인정보위는 해킹 사고 보고 직후인 지난 4월 22일부터 한국인터넷진흥원(KISA)와 14인으로 구성된 태스크포스(TF)를 구성하고 SKT의 유심 정보 유출 건 조사에 착수한 바 있다. 현장조사, 서면조사 및 디지털 증거수집 등을 통해 SK텔레콤의 주요 개인정보처리시스템을 대상으로 유출여부, 유출 규모, 보호법상 안전조치의무 준수 여부를 집중적으로 조사했다.개인정보위는 조사 결과 LTE·5G 서비스 전체 이용자와 알뜰폰 이용자 2324만4649명의 전화번호, 가입자식별번호(IMSI), 유심 인증키 등 25종의 정보가 유출된 것으로 확인됐다고 밝혔다.개인정보위는 "이번 사고가 SKT의 기본적인 보안 조치 미비와 관리 소홀로 인해 발생한 것으로 확인됐다"며 "기본적인 접근통제조차 이행하지 않아 인터넷과 내부망 사이의 보안 운영 환경이 해커의 불법적인 침입에 매우 취약한 상태로 관리·운영되고 있었다"고 설명했다.특히 인터넷·관리·코어·사내망을 동일한 네트워크로 연결하여 운영하면서 국내외 인터넷망에서 SK텔레콤 내부 관리망 서버로의 접근을 제한없이 허용했다는 점을 문제로 꼽았다. 개인정보위는 "관리망 서버는 이번 유출 사고가 발생한 가입자인증시스템(HSS)와 상호접속이 불필요함에도 이를 허용했다"며 "이를 통해 해커가 HSS까지 접속해 데이터베이스(DB) 내 저장된 유심 정보 등을 외부로 전송할 수 있었다"고 했다.이어 SK텔레콤이 침입탐지 시스템의 이상행위 로그를 확인하지 않는 등 불법적인 유출 시도에 대한 탐지·대응 조치도 소홀히 했다고 발표했다. 개인정보위는 "2022년 2월 해커가 HSS 서버에 접속한 사실을 확인했음에도 비정상 통신, 추가 악성프로그램 설치 여부 등 점검하지 않아 유출 사고 방지 대책이 미비했다"고 밝혔다.개인정보위는 지난 과학기술정보통신부의 조사결과 발표와 동일하게 계정정보가 저장된 파일을 관리망 서버 쿠팡 퀵플렉스