과기정통부 "SKT 해킹, 3년 전 시작…IMEI·개인정보 유출 가능성 있다"(종합)

[윤상호 기자]

19일 과학기술정보통신부는 서울 정부서울청사에서 'SK텔레콤 침해사고 관련 민관합동조사단 중간 조사 결과'를 발표했다.. 사진은 최우혁 조사단 단장/사진=정부 이브리핑시스템

지난 4월18일 파악한 SK텔레콤 해킹 사고가 2022년 6월15일 처음 시작했다는 정부 조사 결과가 나왔다. 가입자식별모듈(USIM, 유심) 정보 이외에 단말기 고유식별번호(IMEI)와 다수의 개인정보 유출 정황이 드러났다. 추가 유출 가능성이 있는 정보도 암호화가 이뤄지지 않았다. SK텔레콤의 정보보호 체계 구멍이 당초 알려진 것보다 클 수 있다는 우려가 커졌다.

19일 과학기술정보통신부는 서울 정부서울청사에서 'SK텔레콤 침해사고 관련 민관합동조사단 중간 조사 결과'를 발표했다.

최우혁 조사단 단장(과기정통부 정보보호네트워크정책관)은 "지난 4월29일 1차 발표 이후 공격 정황 서버를 추가로 18대를 식별해 현재까지 총 23대가 공격을 받은 정황이 있고 이중 15대는 분석을 완료했고 나머지 8대는 5월말까지 분석을 완료할 예정"이라며 "분석을 마친 15대의 서버 중 IMEI와 개인정보 등을 임시 저장하는 2대를 확인했다"라고 밝혔다.

또 "이 서버는 29만1831건의 IMEI 자료를 저장하고 있으며 로그 기록이 있는 2024년 12월3일부터 2025년 4월24일은 자료 유출이 없었지만 악성코드 최초 설치 시점인 2022년 6월15일부터 로그 기록이 없는 2024년 12월2일까지는 자료 유출 여부가 확인되지 않았다"라고 덧붙였다.

지금까지 SK텔레콤에서 빠져나간 유심 정보는 9.82기가바이트(GB)다. 유심 가입자 식별키(IMSI) 기준 2695만7749건이다. 악성코드는 BPF도어 계열 24종과 웹셀 1종 총 25종이다.

이동근 조사단 부단장(KISA 디지털위협대응본부장)은 "웹셀 1종은 임시 데이터 서버에서 최초 발견했고 일반적으로 알려진 악성코드로 홈페이지를 장악하는데 널리 쓰이는 형태"라며 "웹셀이 처음 설치된 후 BPF도어 악성코드가 설치됐다"라고 분석했다.

아울러 "개인정보보호법에 따라 관련 서버는 로그를 2년간 저장해야하지만 SK텔레콤은 이 서버를 그런 목적에 사용하는 것이 아니라고 판단해 로그 저장을 하지 않았다"라며 "이 서버에 들어있는 데이터는 암호화되지 않았다"라고 부연했다.

이에 따라 SK텔레콤의 정보보호 노력이 충실했는지에 대한 논란이 불가피해 보인다. 일반적으로 문을 여는 용도로 해킹에 사용하는 악성코드를 약 3년 동안 몰랐기 때문이다. 웹셀을 걸러냈다면 BPF도어 침투를 막을 수 있었다. 이 문을 통해 다른 악성코드가 어디까지 들어왔는지도 문제다.

조사단은 지난 14일부터 BPF도어 감염 여부 확인을 위한 리눅스 서버 점검에서 BPF도어 및 타 악성코드 감염 여부 확인을 위한 모든 서버로 점검 대상을 확대했다.

IMEI 유출 가능성이 생기면서 '복제폰' 불안도 다시 수면 위로 올라왔다. 정부가 1차 조사 때 'IMEI 유출은 없다'고 단언한 것이 이번 사고를 축소 은폐하려고 했던 것이 아니냐는 지적도 나왔다.

류제명 과기정통부 네트워크정책실장은 "제조사 확인 결과 IMEI가 노출되더라도 제조사가 보유한 식별키 값이 있어야 복제폰을 만들 수 있다"라며 "만에 하나 복제폰 제조에 성공해도 통신사의 비정상인증시도차단시스템(FDS) 등으로 방어할 수 있다"라고 해명했다.

이와 함께 "1차 발표 때는 복제폰 우려가 커지고 있어 IMEI 서버 전체를 분석해 긴급하게 한 것이고 이후 4차례 조사를 하면서 이런 서버가 있다는 것을 추가로 발견한 것"이라며 "절대 은폐나 축소는 없으며 전례없이 강력하게 조사하고 있다"라고 강조했다.

개인정보 유출 범위는 개인정보보호위원회가 조사 중이다. 공격 주체나 이유 등은 경찰 등 수사기관이 찾고 있다.

류 실장은 "공격 주체나 침투 목적 등은 경찰 등 수사기관 소관"이라며 "개인정보는 개인정보위가 조사하고 있어 조사단이 알게된 정보를 공유하는 형태"라고 설명했다.

한편 이번 사고가 SK텔레콤 약관에 있는 사업자 귀책 사유 해당 여부에 해당하는지 판단은 아직이다. 신규 영업 정지 해소는 별건이다.

류 실장은 "위약금 면제 관련 약관 해석 등은 법률적 검토를 했고 조사단 작업 결과를 종합해 판단할 예정이라는 입장은 변함이 없다"라며 "신규 영업 정지는 유심 교체를 우선으로 하기 위해 내린 것으로 기존 가입자 유심 교체 충족 여부가 해제를 결정하는 근거다. 다른 요소는 고려하고 있지 않다"라고 전했다.

윤상호 기자 crow@techm.kr

<저작권자 Copyright ⓒ 테크M 무단전재 및 재배포 금지>