[서울경제]

1위 이동통신사 SK텔레콤(017670)의 모든 가입자 정보가 담겨 있는 중앙서버가 해킹된 정황이 확인됐다. 당장 유출이 확인된 정보는 가입자의 유심(USIM) 번호 등 일부에 그치지만 한정된 정보에만 접근 가능한 하위 서버가 아닌 상위 서버가 공격받았다는 점에서 피해 예방과 보안 강화 조치가 시급하다는 지적이 나온다.

22일 통신업계에 따르면 SK텔레콤은 이달 19일 ‘홈가입자서버(HSS)’가 악성코드에 감염돼 내부에 담긴 유심 고유식별번호와 키값 등 일부 가입자 정보가 외부로 유출되는 사태를 겪었다. HSS는 이번에 유출된 유심 정보를 포함해 사용자 등록 관리, 인증, 권한 부여, 위치, 과금 등 가입자에게 서비스를 제공하기 위해 필요한 모든 데이터를 관리하는 중앙서버다. 통신서버의 ‘심장’으로도 비유된다. 정확한 해킹 경위는 파악되지 않았지만 해커가 특정 서비스를 제공하는 하위 서버들 중 한곳을 통해 상위 서버인 HSS로 접근했을 가능성이 제기된다.

당장 유출이 확인된 정보는 일부에 그치지만 중앙서버가 해킹당했다는 점에서 사안이 심각하다는 지적이 나온다. 단적인 비교로 2023년 LG유플러스의 가입자 30만 명의 정보가 유출됐던 해킹 사고는 비교적 하위 서버인 고객인증시스템(CAS)이 공격받은 탓이었다. 박춘식 아주대 사이버보안학과 교수는 “일반적으로 중앙서버는 중요한 데이터가 많이 모여있기 때문에 높은 보안이 요구되고 해킹 시 피해 우려도 클 수밖에 없다”며 “최근 인공지능(AI) 등 신기술을 활용해 해킹 기법이 고도화했기 때문에 SK텔레콤 같은 대기업도 안심할 수 없는 상황”이라고 말했다.

SK텔레콤이 이용자 개인정보에 대한 해킹 공격을 받아 관계 당국이 22일 비상대책반을 구성했다. 이날 서울 중구 SK텔레콤 본사 모습. /연합뉴스

유출된 유심 정보를 악용한 실제 피해는 아직 확인되지 않았지만 안심할 수 없는 상황이다. 나름 보안 역량이 높은 1위 통신사를 공격할 정도면 해커의 역량도 무시못할 수준이거나 금전 등 특정 목적을 갖고 조직적으로 접근했을 가능성을 배제할 수 없기 때문이다. 특히 유심 정보는 제3자가 가입자 몰래 기기변경을 통해 대포폰(복제폰)을 개통하거나 결제를 위한 사용자 인증을 수행하는 데 필요한 정보다. 주민등록번호, 휴대폰번호 같은 다른 개인정보와 결합한다면 실제 피해로도 이어질 수 있는 것이다.

임종인 고려대 정보보호대학원 교수는 “SK텔레콤을 해킹할 정도면 해커가 누군지 몰라도 굉장히 많은 투자를 했을 것이란 의미”라며 “만약 돈을 벌 목적이라면 다크웹을 통해 유출한 정보를 다른 범죄자들에게 팔 수도 있다”고 설명했다. 이 경우 비트코인으로 거래돼 유출 관여자들을 추적하기도 어려워 사태가 심각해질 수도 있다는 것이다. 임 교수는 “유심 정보 외 (악용에 필요한) 다른 정보들이 또 얼마나 유출됐는지를 확인하는 게 피해 방지의 관건”이라고 덧붙였다.

SK텔레콤은 악성코드를 조기에 차단해 가입자 피해로 확산되지 않도록 만전을 기울인다는 방침이다. 회사 관계자는 “지금까지 해당 정보가 실제로 악용된 사례는 확인되지 않았다”며 “해당 악성코드를 즉시 삭제하고 불법 유심 기기변경과 비정상 인증 시도 차단을 강화했다”고 설명했다. SK텔레콤은 시스템을 전수 조사하고 피해 의심 징후를 발견하는 즉시 즉각적으로 이용 정지 조치를 내리는 한편 가입자들에게 제3자의 유심 악용을 막는 ‘유심보호서비스’도 무료로 제공하고 있다.

당국과도 협조한다. 과기정통부와 개인정보보호위원회에 각각 해킹과 정보 유출 정황을 신고했다. 과기정통부와 개인정보위는 이날 사고 원인과 피해 규모 파악, 개인정보보호법 위반 여부 확인 등을 위한 조사에 착수했다. 정확한 해킹 원인과 경위, 피해 규모 파악을 위한 일차적 조사는 1~2개월가량 걸릴 것으로 보인다. 과기정통부는 일주일가량 대책반을 운영한 후 사태 심각성을 판단해 필요할 경우 ‘민관합동조사단’으로 대응 조직을 확대할 방침이다.

통신사의 가입자 정보 유출 사고가 2년여 만에 재발하면서 업계 전반적인 보안 대비도 요구된다. LG유플러스도 2023년 초 가입자 30만 명의 정보 유출 사태를 겪으며 정보보안 투자를 늘리는 등 보안 강화를 단행한 바 있다. SK텔레콤과 자회사 SK브로드밴드를 합친 정보보호 투자액은 2023년 기준 868억 원이었다. 업계 최다 가입자 수에 비해서는 KT(1218억 원), LG유플러스(632억 원)보다 많지 않은 수준이다. SK텔레콤의 고객용 휴대폰 가입회선은 올 2월 2273만 명으로 점유율 40%를 차지했다.

서울경제

김윤수 기자([email protected])