27일 서울의 한 에스케이(SK)텔레콤 대리점에 ‘유심 재고’ 관련 안내문이 붙어 있다. 에스케이텔레콤은 28일 오전 10시부터 가입자들에게 유심(eSIM 포함) 무료 교체 서비스를 제공할 예정이다. 연합뉴스

(☞한겨레 뉴스레터 H:730 구독하기. 검색창에 ‘한겨레 h730’을 쳐보세요.)

국내 1위 이동통신 사업자인 에스케이(SK)텔레콤이 해킹 공격을 받아 가입자의 유심(USIM·가입자 식별 모듈) 관련 정보 일부가 유출되면서, 2300만명에 이르는 가입자들의 불안이 좀처럼 가라앉지 않고 있다. 김승주 고려대 정보보호대학원 교수 등 전문가와 에스케이텔레콤 쪽 설명을 토대로 해킹 범죄의 악용 가능성과 대비해야 할 점 등을 정리했다.

―에스케이텔레콤 가입자다. 당장 무엇을 해야 하나?

“온라인 고객센터 티(T)월드를 통해 서둘러 유심 보호 서비스에 가입해야 한다. 이 서비스는 유출된 유심 정보로 해커가 다른 휴대전화 개통을 할 수 없도록 막는 기능을 한다. 이 서비스에 가입하면 유심을 교체할 필요도 없다.”

―아직 해당 서비스에 가입하지 않았다. 유출된 유심 정보로 해커가 ‘복제폰’을 만들면 내 은행 계좌와 가상화폐 계정이 탈취되나?

“유심에는 이동 가입자 식별번호(IMSI)와 단말기 고유 식별번호(IMEI) 등이 들어 있다. 해커는 유심 정보로 ‘심 클로닝’(심 복제)을 할 수 있다. 이를 통해 감청이나 문자메시지(SMS) 가로채기가 가능하다. 해커들이 유심 복제폰으로 문자메시지 기반 본인 인증 절차를 뚫고 금융자산을 탈취할 수 있다는 주장이 나오는 배경이다. 하지만 해커가 아이디(ID), 비밀번호, 공인(금융)인증서, 인증서 비밀번호 등의 개인정보를 갖고 있지 않다면 계좌 탈취는 불가능하다.”

―해커가 다크웹에서 거래되는 주민등록번호나 공인인증서 등의 개인정보를 확보했다면 계좌를 탈취할 수 있나?

“그런 위험은 분명히 있다. 하지만 유심 정보 없이 공인인증서 확보만으로도 할 수 있는 일이 많기 때문에 다크웹에서 그런 정보를 구한 해커가 굳이 유심 정보까지 해킹할 가능성은 낮아 보인다.”

―에스케이텔레콤이 보관하고 있는 가입자의 다른 개인정보도 해킹됐으면 어떻게 하나?

“현재 통신사들은 유심에 공인인증서를 저장해 전자서명을 하는 ‘유심 스마트인증 서비스’를 제공하고 있다. 이 경우 공인인증서는 유심에 저장될 뿐 통신사 서버로 전송되지는 않는다. 유심 해킹으로 공인인증서가 유출되는 건 아니란 뜻이다. 현재까지 에스케이텔레콤은 가입자 주소와 주민등록번호 등 신분증 관련 정보는 유출되지 않았다고 말하고 있다.”

―2022년 유심 정보를 복제해 가상화폐를 탈취한 ‘심 스와핑’(심 교체) 범죄가 재현될 가능성은?

“심 스와핑과 심 클로닝은 개념이 다르다. 심 스와핑은 이미 주민등록번호와 신분증 등 대량의 개인정보를 확보한 범죄자가 실제 이용자를 사칭해 대리점에서 새 유심을 발급받은 뒤 범죄에 활용하는 것이다. 유심이 아예 바뀌는 거라 기존 이용자의 휴대전화는 공기계처럼 작동하지 않는다. 반면, 심 클로닝은 기존 심 카드를 그대로 복제하는 것으로 해커가 이용자의 다른 정보를 확보하고 있지 않다면 문자 가로채기 수준 이상의 범죄에 활용될 가능성은 상대적으로 낮다.”

―해커가 심 클로닝으로 복제폰을 만들었을 때 이용자가 알 수 있는 방법은?

“해커가 복제 유심을 새 휴대전화에 꽂았다고 해서 복제폰이 바로 통신에 접속되는 것은 아니다. 기존 이용자가 사용하던 휴대전화 전원을 끈 상태에서 해커가 복제폰 전원을 켰을 때 제어권이 복제폰으로 넘어간다. 이 때문에 일반적으로 유심 복제가 발생하면 기관 등을 사칭한 해커가 이메일·문자를 통해 이용자에게 ‘휴대전화를 재부팅하라’는 메시지를 보낸다. 이를 확인한 이용자가 전원을 끄는 순간, 해커는 복제폰 연결에 성공하게 되고 기존 이용자 휴대전화는 한동안 전화나 문자메시지가 오지 않게 된다.”

―에스케이텔레콤은 ‘이상거래 탐지 시스템’(FDS)을 강화한다고 한다. 어떤 효과가 있나?

“삼성전자 갤럭시 스마트폰을 쓰는 가입자의 유심이 갑자기 애플 아이폰에 연결되거나 서울 을지로 기지국과 통신 신호를 주고받던 가입자 단말기와 동일한 정보의 휴대전화(복제폰)가 부산에 있는 기지국에서 통신을 시도할 경우 에프디에스(FDS) 시스템이 이상 징후로 간주해 두개의 휴대전화 접속을 모두 차단한다. 이는 통신사가 유심에 저장된 가입자 식별번호와 단말기 정보를 파악하고 있기 때문에 가능하다.”

―에스케이텔레콤 망을 쓰는 알뜰폰(MVNO) 가입자 유심은 괜찮을까?

“에스케이텔레콤은 자사 망을 쓰는 알뜰폰 가입자의 유심 정보를 각 알뜰폰 사업자 서버에 저장하도록 한다. 다만 통신망 관련 일부 정보는 에스케이텔레콤 서버에 보관된다. 이 때문에 알뜰폰 가입자의 해킹 피해 여부를 단정할 순 없다. 알뜰폰 가입자도 유심을 교체하는 게 낫다.”

한겨레

선담은 기자 [email protected]