23대 서버에서 감염 확인, 포렌식 완료한 15대 중 2대에 개인정보 저장

(지디넷코리아=박수형 기자)SK텔레콤 침해사고 민관합동조사단의 조사 결과 19일 기준 총 23대의 서버 감염이 확인됐다. 이 가운데 15대에 대판 포렌식을 완료하고 8대에 대한 분석이 진행되고 있다.

BPFDoor 계열 24종, 웹셸 1종의 악성코드가 발견돼 조치했다.

정밀 분석이 끝난 서버에서 1차 조사 결과와 달리 단말기 고유식별번호(IMEI) 데이터가 임시로 저장된 것이 확인됐다.

다만 로그기록이 남아있는 기간 자료 유출은 일어나지 않은 것으로 확인됐다.

19일 조사단에 따르면 초기에 발견된 BPFDoor 감염 여부를 확인하기 위해 리눅스 서버를 집중 점검하고 다른 악성코드의 감염 여부를 확인하기 위해 모든 서버로 점검 대상을 확대했다.

사진=이미지투데이

SK텔레콤의 리눅스 서버 약 3만여 대에 대해 4차례에 걸친 점검을 진행했는데, 1~3차 점검은 SK텔레콤의 자체 점검 이후 조사단이 검증하는 방식으로 진행하고 4차 점검은 조사단이 한국인터넷진흥원 인력을 지원 받아 조사했다.

지난달 24일까지 진행된 1차 조사결과에서 유출된 유심정보의 규모가 9.82GB이며 가입자 식별키(IMSI) 기준 2천695만7천749건을 확인했다. 조사단은 1차 공지에서 악성코드 4종, 2차 공지에서 8종 외 BPFDoor 계열 12종과 웹셸 1종을 추가로 확인했다.

1차 조사결과 발표 이후 공격을 받은 정황이 있는 서버는 추가로 18대가 식별됐다. 총 23대 중 15대의 정밀 분석을 완료하고 8대는 5월 말까지 분석을 완료할 계획이다.

분석이 완료된 15대 중 개인정보 등을 저장하는 2대를 확인하고 지난 18일까지 2차에 걸쳐 자료 유출 여부에 대해 추가적인 조사를 실시했다. 해당 서버는 통합고객인증 서버와 연동되는 서버들로 고객 인증을 목적으로 호출된 IMEI와 성명, 생년월일, 전화번호, 이메일 등 다수 개인정보가 포함됐다.

조사단은 악성코드가 감염된 서버들에 대한 정밀 포렌식 분석 중 연동 서버에 일정 기간 임시로 저장되는 파일 안에 IMEI 등이 포함되고 있음을 확인하게 됐다고 설명했다.

총 29만1천831건의 IMEI가 포함된 사실을 확인했는데 방화벽 로그기록이 남아있는 기간에 자료 유출은 없는 것으로 확인됐다. 로그기록이 남아있지 않은 기간에는 자료 유출 여부가 현재 확인되지 않았다.

조사단은 개인정보 등이 저장된 문제의 서버들을 확인한 즉시 사업자에게 정밀 분석이 끝나기 전이라도 자료가 유출될 가능성에 대해 자체 확인하고 이로 인한 국민 피해를 예방할 수 있는 조치를 강구하라고 요구했다.

또한 개인정보의 경우 개인정보보호위원회에서 정밀한 조사가 필요한 사항이라 보고 개인정보가 포함되어 있다는 사실을 통보하는 한편, 사업자 동의를 얻어 조사단에서 확보한 서버자료를 공유했다.

조사단은 침해사고 조사 과정에서 국민에게 피해가 발생할 수 있는 정황이 발견되는 경우 이를 투명하게 공개하고 사업자가 신속히 대응토록 하는 한편 정부 차원의 대응책도 강구해 나갈 계획이다.

한편, 과기정통부는 타 통신사와 주요 플랫폼 기업 대상으로 유사 사고가 발생할 가능성을 대비해 사건 초기부터 긴밀한 대응을 했다. 과기정통부 장관이 통신 3사 및 플랫폼 4개사의 보안 리더들과 만나 현 보안상황을 점검하고 향후에도 철저한 점검과 대응을 당부했다.

또한 지난 12일부터 ‘통신사 및 플랫폼사 보안점검 TF’를 운영해 타 통신사 및 플랫폼 4개사에 대해 매일 또는 주 단위로 점검 결과를 확인하고 있다.

이와 함께 중앙행정기관, 지자체, 공공기관은 국정원 주관으로 점검을 진행 중으로 현재까지 민간, 공공 분야 모두 신고된 피해사례는 없다.

박수형 기자(psooh@zdnet.co.kr)

Copyright © 지디넷코리아. 무단전재 및 재배포 금지.