⁠⁠⁠⁠⁠⁠⁠
해킹 발생 한 달 넘도록 주체 미확인
고도화된 공격 정황에 '국가 차원 의혹'

SK텔레콤 해킹 사태에 중국 개입 가능성이 제기되는 가운데, LG유플러스가 과거 중국 보안업체 관련 문건에 간접 언급된 사례가 재조명되고 있다. /더팩트DB

[더팩트ㅣ조소현 기자] SK텔레콤 유심 해킹 사태의 공격 주체가 한 달 넘도록 밝혀지지 않으면서 사이버 공격의 성격과 목적을 둘러싼 의문이 커지고 있다. 국가 지원 해킹 방식의 정황, 특히 중국 해커 조직의 수법과 유사한 악성코드가 사용됐다는 분석 등이 제기되면서 중국 개입설에 무게가 실리는 가운데, 지난해 LG유플러스 관련 해킹 의혹도 다시 주목받고 있다.

10일 업계에 따르면, SK텔레콤 해킹 사태는 발생 한 달이 넘도록 공격 주체가 명확히 밝혀지지 않은 상태다. 정부 민관합동조사단은 일부 악성코드가 지난 2022년 6월 SK텔레콤 시스템에 처음 설치된 정황을 확인했으며, 해커가 약 3년에 걸쳐 내부에 은밀히 잠입한 뒤 지난 4월 9.82GB 분량의 유심 관련 정보를 외부로 유출한 것으로 보고 있다.

전문가들은 해커의 장기 잠입, 정교한 침투 시점, 단계적 공격 절차 등을 고려할 때 국가 차원의 사이버 공격 가능성을 제기하고 있다. 특히 통신사 해킹이 금전이 아닌 고급 정보 수집을 목표로 하는 국가 지원형 방식일 가능성이 크다는 점, 공격에 사용된 악성코드가 중국 해커 조직 '레드 멘션'이 사용하는 'BPF도어' 계열로 분석된 점에서 중국 개입설이 제기된다.

김승주 고려대 정보보호대학원 교수는 "통신사는 금융기관처럼 금전적인 정보를 보관하진 않지만, 대신 통화기록이라는 매우 고유한 데이터를 가지고 있다"며 "특정 인물이 누구와 얼마나 자주 통화했는지 등을 파악할 수 있는 정보로, 주요 정치인이나 공직자의 사회적 관계망과 동선 파악에 매우 유용하다"고 설명했다.

이어 "이 때문에 통신사는 정보 수집을 목적으로 한 국가 후원 해킹 조직에게 매력적인 공격 대상이 된다"며 "2019년 사이버리즌 보고서에서도 통신사 해킹이 증가하고 있으며, 특히 그 배후에 국가의 지원을 받는 해킹 그룹이 존재하고, 그 중에서도 중국 관련 사례가 두드러진다는 분석이 있었다. 지난해 말 미국 통신사들이 대거 해킹됐을 때에도 중국 해커 조직의 개입 정황이 드러나면서 FBI가 현상금까지 내건 사례가 있었다. SK텔레콤 사건 역시 공격 시점과 정황이 유사해 중국 개입 가능성이 제기되는 것"이라고 덧붙였다.

SK텔레콤 해킹 사태는 발생 한 달이 넘도록 공격 주체가 명확히 밝혀지지 않은 상태다. 사진은 SK텔레콤이 전 고객을 대상으로 유심 무상 교체를 실시한 지난 4월28일 서울 광화문 T월드 대리점 앞. /임영무 기자

해킹 방식과 관련된 기술적 정황도 영향을 미치고 있다. 민관합동조사단에 따르면, 이번 공격에서 확인된 악성코드 중 상당수가 중국 정부의 후원을 받는 것으로 알려진 해커 조직 레드 멘션이 주로 사용하는 BPF도어 계열 악성코드로 분석됐다. BPF도어는 정상적인 인증 절차를 우회해 시스템에 몰래 접근할 수 있는 일종의 백도어다. 침투하면 장기간 은닉하는 데다 탐지 기술도 회피해 일반적인 보안 점검으로는 발견이 어렵다.

미국 사이버 보안업체 트렌드마이크로는 지난 4월 보고서에서 "BPF도어는 국가 후원형 백도어로, 사이버 스파이 활동용으로 설계된 것"이라며 "지난해 7월과 12월 한국 통신기업을 포함한 여러 기관이 BPF도어 공격의 대상이 됐다"고 적었다. 다만 해당 통신기업이 SK텔레콤이라고 명시하지는 않았다.

임종인 고려대 정보보호대학원 교수는 "트렌드마이크로 분석에 따르면 이 변종은 중국 정부의 후원을 받는 해킹 조직 레드 멘션 외에는 사용한 사례가 없다"며 "다크웹 유출 흔적이 없는 점을 고려하면, 개인정보 유출보다 안보 위협으로 접근해야 할 사안"이라고 말했다.

또 이번 공격은 APT(지능형 지속 위협) 방식으로 이뤄졌으며, 상당한 자금력과 조직력이 필요한 고난도 공격이라는 점에서도 국가 배후 가능성에 무게가 실리고 있다. 다만 정부는 공격 주체를 특정하지 않고 있으며, 수사기관도 "모든 가능성을 열어두고 조사 중"이라는 입장을 유지하고 있다.

이같은 상황에서 LG유플러스가 과거 중국 보안업체 관련 문건에 간접 언급된 정황도 재조명되고 있다. 지난해 2월 워싱턴포스트는 "중국 해커 조직 아이순이 LG유플러스를 해킹해 약 3TB 분량의 통화기록을 유출했다는 내용이 내부 문건에 포함돼 있다"고 보도했다. 아이순은 외국 기관을 해킹해 중국 정부에 정보를 판매해온 조직으로, 일부 해킹은 중국 공안의 지시로 수행됐다는 정황이 미국 법무부 공소장에 담겼다. 미국 법무부는 지난 3월 아이순 직원 8명과 공안부 소속 2명을 기소했다. 다만 LG유플러스 관련 해킹이나 정보 유출 여부는 공식적으로 확인되지 않았다.

LG유플러스는 해킹과의 연관성이 확인되지 않았다는 입장이다. LG유플러스 관계자는 "워싱턴포스트 보도 당시 해킹 리스트의 실재 여부나 진위도 확인되지 않았으며, 그 안에 담긴 데이터가 실제 해킹을 통해 확보된 것인지도 검증된 바 없다"며 "정부와 KISA도 현장 점검을 진행한 뒤 특이사항 없이 종결 처리했다"고 설명했다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난해 3월과 5월 두 차례에 걸쳐 LG유플러스 본사에 대해 현장 점검을 실시했으며, 회사 측도 자체 점검 결과 외부 침입이나 데이터 유출 흔적은 없었다고 밝혔다.

다만 전문가들은 해킹 피해가 있었더라도 탐지하지 못했을 가능성을 배제할 수 없다고 지적한다. 임 교수는 "탐지도 실력"이라며 "정부 조사에서 특이점이 없다고 했지만, 발견을 못한 걸 수도 있다"고 말했다.

한편, LG유플러스가 일부 지역에 화웨이 장비를 도입했던 이력도 거론되고 있다. 온라인 커뮤니티를 중심으로 "화웨이를 쓰는 LG유플러스가 안 당했을 리 없다"는 식의 우려가 제기되고 있다.

화웨이 장비에 대한 시각은 전문가마다 다르다. 임 교수는 "미국은 오래전부터 화웨이 장비에 백도어가 있다고 주장했고, 영국, 호주 등도 사용을 중단했다"며 "한국도 안보 측면에서 미국과 공조할 수밖에 없는 구조"라고 말했다. 반면 김승주 교수는 "중국산 장비를 일부 사용한다고 해서 모두 보안에 취약하다고 보는 건 논리적 비약"이라며 "중국산 PC를 쓰는 통신사도 많다"고 말했다.

LG유플러스 관계자는 "화웨이 장비는 전 세계적으로 가장 널리 사용되는 통신 장비"라며 "유럽 등 주요국 중에서도 화웨이 장비를 사용하는데, 이들이 보안 위협을 몰라서 쓰는 것은 아니다. 중요한 것은 장비 사용 자체보다 실제로 어떤 경로로 데이터가 유출되는지 검증하는 것"이라고 말했다.

sohyun@tf.co.kr

발로 뛰는 더팩트는 24시간 여러분의 제보를 기다립니다.
▶카카오톡: '더팩트제보' 검색
▶이메일: jebo@tf.co.kr
▶뉴스 홈페이지: http://talk.tf.co.kr/bbs/report/write

Copyright © 더팩트. 무단전재 및 재배포 금지.