개인정보·IMEI 유출 가능성
해커, 웹셸 침투후 악성코드 설치
'심스와핑' 등 위험성 확대 우려감
사측 "FDS 고도화로 유출 안돼"
과기부도 "물리적 불가" 입모아
피해규모·유출경로 규명 총력전

류정환 SK텔레콤 네트워크인프라 센터장이 19일 서울 중구 삼화타워에서 과학기술정보통신부의 SKT 침해사고 관련 민관합동 조사결과 브리핑에 대한 SKT 입장을 발표하고 있다. 뉴스1

SK텔레콤 사이버 침해 사고를 조사 중인 민관합동조사단이 단말기 고유식별번호(IMEI)와 개인정보를 저장하는 서버가 공격받은 정황을 추가로 확인했다. 다만 정부와 SKT모두 현 상황에서 누구가가 유출 정보를 기반으로 복제폰을 만들기는 어렵다고 입을 모았다.

SKT 침해사고 민관합동조사단은 지난달 29일 1차 조사 결과를 발표한 데 이어 19일 오전 11시에 2차 조사 결과를 발표했다. 총 25종으로 식별된 악성코드 중 1종은 '웹셸'이라는 종류다. 조사단은 해커가 이 웹셸을 먼저 침투시킨 후 BPFDoor에 해당하는 악성코드를 여러개 심는 방식으로 침투한 것으로 진단했다.

조사단이 감염된 것으로 판단한 23개 서버중 2대의 서버에는 IMEI와 이름, 생년월일, 전화번호, 이메일 등 개인정보가 포함된 것으로 확인됐다. 서버에 저장된 29만1831건의 IMEI는 지난해 12월 3일부터 올해 4월 24일까지는 유출되지 않은 것으로 파악됐지만, 최초로 악성코드가 설치된 시점인 2022년 6월 15일부터 2024년 12월 2일까지는 로그기록이 남아있지 않아 유출 여부가 불확실하다고 조사단은 밝혔다.

일각에선 IMEI유출로 '심스와핑' 등의 피해 위험성이 커지는 것 아니냐는 우려를 제기하고 있다. 심스와핑이란 유심을 복제해 다른 스마트폰에 꽂아 불법적인 행위를 하는 것을 말한다.

이에 대해 류제명 과학기술정보통신부 네트워크정책실장은 "IMEI 값은 15자리의 숫자 조합인데 이것만 갖고는 복제폰은 원칙적으로 불가능하다는 것이 제조사들의 해석"이라며 "인증키 값은 제조사들이 갖고 있기 때문에 (심스와핑이) 작동하는 상황은 아니라는 설명을 들었다"고 말했다.

서버에 남아있던 IMEI정보는 로그가 남아있는 기간엔 유출된 사실이 없다는 점이 확인 됐지만 로그가 남아 있지 않은 기간에 대해서는 유출 여부를 알 수 없는 상황이다. 이에 대해 최우혁 과학기술정보통신부 정보보호네트워크정책관은 "현 상태로서는 조사단에서는 어떠한 추정도 하기 어려운 상황"이라며 "다만 정부가 수사 상황과 다크웹 등을 모니터링하고 있고, 이런 곳에서 아직까지 확인 된 바가 없다"고 밝혔다. 조사단은 다음달 말까지 SKT 전 서버에 대한 조사를 마무리하고 최종 피해 규모와 유출 경로를 규명할 계획이다.

업계에선 유심정보 해킹 배후로 중국 정부의 지원을 받는 해커 집단도 지목되고 있다. 통신업계에 따르면 이번 SKT 서버에서 발견된 BPF도어는 3년 전 최초로 존재가 보고된 백도어 프로그램이다. PwC는 지난 2022년 공개한 보고서를 통해 중국 해커 집단 레드 멘션(Red Menshen)이 중동, 아시아 지역 통신사를 공격하면서 BPF도어를 활용 중이라고 밝힌 바 있다.

SKT은 이날 서울 중구 삼화타워에서 브리핑을 열고 조사단의 2차 조사 결과 발표와 관련해 현재까지 추가로 유출된 정보가 없으며 IMEI도 유출이 확인된 바 없다는 점을 언급했다. 또 지난 18일부터 비정상인증차단시스템(FDS)을 고도화해 다양한 비정상 인증 시도를 통신망에서 실시간 감지·차단한다는 점을 강조했다.

류정환 SKT 네트워크인프라 센터장(부사장)은 "악성 코드와 감염 서버 수가 늘어난 것은 죄송하지만, SKT은 이런 것을 속이거나 숨기거나 거짓말한 적이 없다"며 "현재까지 확인된 바로는 추가 유출은 없다"고 밝혔다.

해커가 악성코드를 설치한 것을 3년여간 발견하지 못했다는 지적에 대해서는 "지능형 지속 공격(APT)이 들어오면 해커들이 어떤 것을 유출해 나갈 때까지 2년이나 3년 등 오랜 시간이 걸릴 수 있다"며 "그렇기에 증적을 찾기 상당히 어려운 것"이라고 해명했다. 이어 류 담당은 "IMEI 29만건 얘기가 있었지만 이게 유출된 건 아니다"라며 "기존 FDS 1.0이 불법 유심을 막아주는 서비스였다면 FDS 2.0은 불법 복제 단말도 차단한다"고 강조했다.

solidkjy@fnnews.com 구자윤 기자

Copyright © 파이낸셜뉴스. 무단전재 및 재배포 금지.