SKT 유심해킹 6가지 궁금증…민관조사단 2차 결과

SK텔레콤 사옥

SK텔레콤에 대한 사이버공격 사태가 사고 발생 한 달 만에 새로운 국면에 접어들었다. 알뜰폰 포함 2500만명 가입자 전원의 유심 정보가 유출됐을 뿐만 아니라 당초 유출되지 않았다고 했던 단말기고유식별번호(IMEI), 나아가 고객 이름과 전화번호 등 다수의 개인정보를 보관하던 서버까지 해킹 공격을 받은 것으로 확인되면서 해킹 피해에 대한 우려가 다시금 불거지고 있다. 주무부처인 과학기술정보통신부와 사고 당사자인 SK텔레콤은 추가적으로 고객의 민감 정보가 빠져나갔을 가능성은 희박하다고 강조하고 있으나, 2차 피해 가능성이 없다고 100% 확신할 수 없는 사안인 만큼 당분간 시장 혼란이 가중될 것으로 보인다. 매일경제는 SK텔레콤 해킹 사건을 조사 중인 민관합동조사단 2차 결과 발표 내용을 토대로 통신·보안 업계 전문가와 정부 관계자 및 학계 전문가 등의 의견을 종합해 이번 사안을 둘러싼 궁금증들을 정리했다. 이래는 일문일답.

―정보가 어디까지 유출됐나.

▷지난 4월 말 조사단 1차 발표 이후 공격을 받은 정황이 있는 서버 18대가 추가로 발견됐다. 현재까지 총 23대의 서버가 감염된 것으로 확인됐다. 이 중 단말기고유식별번호와 이름, 생년월일, 전화번호, 이메일 등 다수의 개인정보가 임시 저장·관리되는 서버 2대에서 추가 감염된 사실이 발견됐다. 다만 악성코드가 추가 확인된 해당 서버에서 정보 유출이 이뤄졌는지는 확인이 불가하다. 따라서 현재 명확하게 유출됐다고 볼 수 있는 정보는 가입자 전화번호, 가입자식별번호(IMSI) 등 유심 복제에 활용될 수 있는 정보 등이다. 다만 추후 개인정보보호위원회 조사 결과에서 유출 범주에 대한 명확한 내용이 나올 전망이다.

―IMEI가 빠져나갔을 가능성은.

▷SK텔레콤 침해 사고 발생 후 복제폰으로 인한 피해 우려로 IMEI 유출 여부에 대해 국민적 관심이 높았다. 이에 조사단은 조사 초기 IMEI가 저장된 38대 서버의 악성코드 여부를 점검해 감염되지 않음을 확인하고 1차 조사 결과를 발표한 바 있다. 이후 악성코드가 감염된 서버들에 대한 정밀 포렌식 분석 중 연동 서버에 일정 기간 임시로 저장되는 파일 안에 IMEI 등이 포함되고 있음을 확인하게 됐다. 총 29만1831건의 IMEI가 이 감염 서버에 포함돼 있었다. 문제는 이 정보가 유출됐는지 확인하기 어렵다는 점이다. 방화벽 로그 기록이 남아 있는 기간인 지난해 12월 3일부터 지난달 24일 사이에는 자료 유출이 없었던 것으로 조사단이 확인했지만, 최초 악성코드가 설치된 2022년 6월 15일부터 지난해 12월 2일까지는 로그 기록이 남아 있지 않아 유출 여부를 확인할 수가 없었다는 게 조사단 설명이다. 이 기간의 개인정보 유출 여부는 향후 정밀 포렌식 작업을 거쳐야 하지만 로그 기록 삭제로 파악이 어려울 수 있다.

―작년 12월 이전 로그 기록은 왜 없나.

▷로그 기록은 보존 연한이 있어 사실상 모든 기록을 다 보관하는 것은 불가능한 구조라는 게 전문가들 설명이다. 다만 SK텔레콤이 로그 기록을 4개월여라는 짧은 기간 보관한 것과 유출 가능성이 있는 개인정보를 암호화하지 않은 것 등의 개인정보보호법 위반 여부는 추후 개인정보보호위원회에서 판단할 것으로 보인다. 개인정보보호법에 따르면 기간통신사업자는 최근 2년간의 로그 기록을 보관해야 한다. 다만 해당 서버는 고객 인증 목적의 임시 저장 역할을 하는 서버라 이 같은 의무가 적용되는지에 대해서는 개인정보보호위원회의 추가 조사가 필요하다. 보안 업계에서는 최초 악성코드가 설치된 시점에 대해서는 해커들이 의도적으로 해당 시점을 조작했을 가능성이 있어 명확하지 않다는 분석도 나온다.

―만약 해당 정보가 유출됐다면.

▷최악의 경우로 IMEI가 유출됐다고 가정할 경우 기존의 유심 보호 서비스만으로는 복제폰 등 위험을 원천 차단하기는 힘들다는 게 전문가들의 공통된 견해다. 그러나 현재 SK텔레콤이 최고 단계의 비정상인증차단시스템(FDS)으로 네트워크를 통한 불법 복제 유심과 단말을 모두 차단하기에 소비자들이 우려하는 복제는 사실상 불가능하다는 설명이다. 이는 조사단의 2차 발표에서 주요 제조사들이 단말 복제가 불가하다고 확인한 내용과 동일하다. 즉 유심 보호 서비스가 무력화되더라도 그사이에 FDS가 계속 가동 중이기 때문에 2차 피해 우려까지 연계시키기는 어렵다는 얘기다.

―통화상세기록(CDR) 유출 가능성은.

▷현재 정치권 등에선 해커의 목적이 ‘누가, 언제, 어디서, 누구와 통화했는지’에 대한 CDR 정보를 얻기 위함일 수 있다는 우려가 나오고 있다. 만약 이것이 유출됐다면 공직자, 정치인의 동선과 친분 등을 다 알 수 있는 민감한 정보이기 때문이다. 이에 대해 조사단은 “현재까지 조사한 범위에서는 CDR 해킹이 발견되지 않았다”고 설명했다. SK텔레콤도 “CDR 유출이 없다”고 덧붙였다.

―유심 교체가 꼭 필요한가.

▷SK텔레콤은 유심 보호 서비스에 가입하는 것만으로도 안전하다는 기존 입장에는 변함이 없다고 밝혔다. 최근 유심 보호 서비스 업그레이드를 통해 국내는 물론 해외에서도 이 서비스가 가동되고 있는 데다 최고 단계의 FDS까지 함께 이뤄지고 있기 때문이라느 설명이다. 그럼에도 불안한 고객을 위해 유심을 무료로 교체해주는 서비스는 이어나가겠다는 계획이다. 다만 조사단은 해킹 사고에 대한 정밀 분석이 완료되지 않은 만큼 최악의 경우에 대비한 추가 대책을 마련할 것으로 SK텔레콤에 주문했다고 밝혔다.

Copyright © 매일경제 & mk.co.kr. 무단 전재, 재배포 및 AI학습 이용 금지