유출 정보에 주민번호는 포함 안돼
정상폰·복제폰 동시 접속은 불가능
위치 추적은 서버 통째로 장악해야
다크웹 정보와 조합 시도 경계 필요

SK텔레콤 고객정보 유출 여파가 계속된 30일 서울 시내 한 휴대전화 대리점 앞으로 시민이 지나가고 있다. 뉴시스

SK텔레콤 해킹 사고를 둘러싸고 확인되지 않은 정보들이 온라인을 중심으로 확산되며 불안감을 키우고 있어 우려의 목소리가 나온다. 전문가들은 피해 사례를 비롯한 사고 관련 정보들을 투명하게 공개해 소비자들이 근거 없는 소문을 배제하고 침착하게 대응할 수 있도록 돕는 것이 중요하다고 강조했다.

① 이름·주소·주민번호 몽땅 털렸다?

과학기술정보통신부에 따르면 이번 해킹 사고에서 유출된 정보는 SKT 홈 가입자 서버(HSS)에 저장된 전화번호, 가입자 식별키(IMSI), 가입 요금제 등 총 25종이다. 이 서버는 SKT가 통신 서비스를 제공하는 데 필요한 가입자 식별·인증 정보를 관리하지만, 이름, 주소, 주민등록번호와 같은 개인정보는 저장하지 않는다. 전문가들은 유심 복제에 활용될 수 있는 IMSI 같은 정보가 빠져 나갔지만, 그와 결합돼 2차 피해를 야기할 수 있는 개인정보가 이번에 함께 유출됐을 가능성은 낮다고 보고 있다.

② 복제폰 금융사기에 걸려들 수 있다?

SKT에서 유출된 개인정보로 누군가 복제폰을 만들어 금융기관에서 돈을 빼가거나 사기를 치는 것 아니냐는 걱정도 많다. 하지만 이런 행위가 가능한 복제폰을 만들려면 단말기 고유식별번호(IMEI)가 필요한데, 이건 유출되지 않았다. 더구나 현재 이동통신 표준상 두 대의 단말기가 네트워크망에 동시 접속하는 것은 불가능하다. 복제된 유심을 넣은 단말기가 접속하려 하면 이상탐지시스템(FDS)이 감지하고 연결을 끊는다. 유심보호 서비스까지 가입하면 더 확실한 방어가 가능하다. 이 서비스가 IMEI 정보를 바탕으로 최초 등록된 단말기에서만 유심을 사용할 수 있도록 제한한다. 금융거래에는 휴대폰 외에 각종 인증서나 비밀번호 등이 필요한 것도 보호막이 된다.

③ 실시간 위치추적 당할지 모른다?

30일 서울 송파구 한국인터넷진흥원(KISA) 상황실에 피싱·스미싱 공격을 주의하라는 등의 보안 공지가 표시돼 있다. 연합뉴스

사용자의 위치 정보는 단말기가 기지국과 연결될 때 생성되는 통신 데이터를 통해 파악된다. 네트워크에 접속되지 않은 상태에선 위치 확인 자체가 불가하다는 의미다. 사용자 위치 역시 이번에 해킹된 서버에 저장되긴 하지만, 유출된 정보엔 포함되지 않았다. 이성엽 고려대 정보보호대학원 교수는 "일부 정보가 빠져나간 상태에선 위치 추적이 어렵다. 위치를 추적하려면 서버 자체를 장악해야 한다"고 설명했다.

2차 피해 가능한 시나리오는?

다만 이번에 유출된 정보가 다크웹 등에서 얻은 추가 정보와 결합하면 2차 피해가 실제로 가능해진다. 최근 KS한국고용정보원이 해킹 공격을 받아 개인정보가 유출됐는데, 해당 정보가 다크웹에서 1만5,000달러에 거래되는 정황이 포착되기도 했다. 서로 다른 해킹에서 나온 정보가 이런 경로로 조합될 경우 피해가 커질 수 있다. 박기웅 세종대 정보보호학과 교수는 "공격자가 더 큰 수익을 노린다면 추가 정보를 확보해 2차 피해를 일으킬 가능성도 배제할 수 없다"고 지적했다.

전문가들은 기술적 사실과 피해 양상을 명확히 설명해 과도한 불안감 확산을 막아야 한다고 입을 모았다. 김용대 한국과학기술원(KAIST·카이스트) 전기전자공학부 교수는 "사고 초기에 기술 설명과 대응 안내가 이뤄졌다면 각종 가짜뉴스가 범람하는 일은 없었을 것"이라며 "잘못된 정보를 바로 잡기 위한 노력이 병행돼야 한다"고 말했다.

김태연 기자 tykim@hankookilbo.com

Copyright © 한국일보. 무단전재 및 재배포 금지.