검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'유심 해킹'통합검색 결과 입니다. (25건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

"SKT 보안체계 허점…다중인증 도입, 보안 거버넌스 개선 권고"

과학기술정보통신부가 SK텔레콤 유심 정보 유출 사고에 대한 조사를 마친 뒤 보안체계 전반의 허점과 관리 부실을 꼬집으며 다중 인증 도입, 암호화 강화, 보안 거버넌스 개선 등을 요구했다. 4일 과기정통부가 발표한 민관합동조사단의 최종 조사 결과에 따르면 SK텔레콤은 ▲계정정보 관리 부실 ▲과거 침해사고 대응 미흡 ▲주요 정보 암호화 조치 미흡 등 3가지 문제점이 확인됐다. 아울러 계정정보 관리가 부실하고 주요 정보 암호화 조치가 미흡한 점에 대해서는 6종의 재발 방지 대책을 제시했다. 과거 침해사고 신고를 지연·미신고한 건에는 정보통신망법에 따라 과태료를 부과하고, 자료보전 명령을 위반한 사례에 관해서는 수사기관에 수사를 의뢰할 예정이다. 2021년 8월 악성코드 침입...유심정보 9.82GB 유출 SK텔레콤은 지난 4월18일 오후 11시 20분 네트워크에서 평소보다 이례적으로 많은 데이터가 외부로 전송된 정황을 포착한 뒤 이후 자체 분석을 통해 해킹 가능성을 인지한 SK텔레콤은 4월20일 오후 4시 46분, 한국인터넷진흥원(KISA)에 침해사고 사실을 신고했다. 정부는 이동통신사의 가입자 인증 핵심정보인 유심(USIM) 관련 데이터가 포함된 중대한 보안 침해 사고로 판단하고 4월23일 한국인터넷진흥원, 국정원, 민간 전문가가 참여하는 민관합동조사단을 구성하고 본격적인 사고 조사에 돌입했다. 조사단은 ▲사고 경위 ▲유출 규모 ▲침입 경로 및 악성코드 분석 등을 중심으로 정밀 조사에 착수했다. 조사 결과에 따르면 해킹 사고의 시작은 2021년 8월로 특정됐다. 당시 해커는 외부 침입이 가능한 시스템 관리망에 있는 서버A에 접속 후 원격제어, 백도어 기능 등이 포함된 악성코드(CrossC2)를 2021년 8월6일 설치했다. 이후 서버A에 저장된 타 서버들의 계정정보(ID, 비밀번호 등)를 통해 서버B에 침투했다. 당시 서버B에는 가입자 정보를 관리하는 핵심 시스템 '음성통화인증(HSS)' 관리서버에 접속할 수 있는 계정정보가 저장돼 있었다. 이를 통해 해커는 HSS 관리서버에 접속 후 HSS 관리서버 및 HSS에 'BPFDoor'를 설치했다. BPFDoor는 방화벽을 우회해 몰래 침입하고 명령을 주고받을 수 있게 만든 은밀한 백도어 악성코드다. 이후로도 해커는 고객 관리망을 비롯한 여러 서버에 웹쉘, BPFDoor 등 악성코드를 설치하며 서버 감염 범위를 넓혔다. 결국 올해 4월18일 해커는 HSS 3개 서버에 저장된 유심정보를 유출했다. 이때 유출된 정보량은 9.82GB다. SKT 서버 전수 조사, 재발 방지 대책 권고 조사단은 이번 침해사고로 총 28대 서버에 대해 포렌식 분석을 진행한 결과, BPFDoor 27종을 포함한 총 33종의 악성코드를 확인했다. 이 중에는 타이니쉘(3종), 웹쉘(1종), CrossC2·슬리버 등 오픈소스 악성코드도 포함돼 있었다. 조사단은 관련 정보를 백신사, 국정원, 경찰청 등과 공유하고, 보안 점검 가이드를 보호나라 누리집을 통해 배포했다. 유출된 데이터는 유심 관련 정보 25종(9.82GB)이며, IMSI 기준 약 2천696만 건에 달하는 것으로 확인됐다. IMSI는 통신사 가입자 정보를 식별할 수 있는 민감한 데이터로, 향후 2차 범죄로의 악용 가능성이 제기됐으나, 현재까지 관련 피해 신고는 접수된 바 없는 것으로 알려졌다. 또한 조사단은 감염된 서버 중 2대에서 IMEI와 개인정보가 평문으로 저장, 또 다른 1대에서는 통화기록(CDR)이 평문으로 임시 저장돼 있었다고 밝혔다. 해당 서버의 방화벽 로그를 분석한 결과, 로그가 남아있는 기간에는 유출 정황이 없었으나, 로그가 존재하지 않는 시기(최대 2년 반)에 대해서는 유출 여부를 확인할 수 없었다. 조사단은 SK텔레콤 유심정보 유출 사고와 관련해 약 4만2천대의 서버에 대한 대대적인 악성코드 감염 조사를 실시한 결과, 총체적인 정보보호 체계 부실을 확인하고 재발 방지 대책을 제시했다. 먼저 국내 1위 이동통신사의 침해사고이자 유심정보 유출로 인한 2차 피해 우려가 큰 중대 사고로 판단하고, 지난 4월23일부터 6월27일까지 SK텔레콤의 전체 서버 4만2천605대를 대상으로 BPFDoor 등 은닉성이 높은 악성코드 감염 여부를 전수조사했다. 감염이 의심되거나 확인된 서버에 대해서는 포렌식 등 정밀 분석도 병행해 피해 발생 여부까지 확인하는 이례적으로 강도 높은 조치가 이뤄졌다. 조사 결과, SK텔레콤의 보안 체계는 계정정보 평문 저장, 유심 인증키 비암호화, 과거 침해 정황에 대한 미조치 및 미신고 등 다수의 문제점을 드러났다. 특히 2021년부터 음성통화인증 서버(HSS)에 악성코드가 침투해 있었지만, SK텔레콤은 2022년 서버 재부팅 과정에서 이상 징후를 감지하고도 전체 로그를 확보하지 못해 침입 사실을 파악하지 못했고, 법령상 침해사고 신고 의무를 이행하지 않았다. 이에 정보통신망법을 따라 과태료(3천만원 이하)를 부과할 예정이다. 또한 통신망법상 자료보존 명령이 내려진 후에도 SK텔레콤은 포렌식이 불가능한 상태로 서버 일부를 임의 조치해 제출한 사실이 확인돼, 정부는 수사기관에 수사 의뢰 방침을 밝혔다. 정부는 이번 사고를 계기로 SK텔레콤에 ▲모든 서버 접속에 다중인증 도입 ▲Ki값 등 주요 정보 암호화 저장 ▲EDR·제로트러스트 등 보안솔루션 확대 적용 ▲분기별 전체 자산 보안 점검 의무화 ▲협력사 SW 유입 관리 강화 ▲정보보호 최고책임자(CISO)를 CEO 직속으로 격상하는 등의 6대 재발 방지 대책을 권고했다.

2025.07.04 14:02진성우

"모바일 신분증도 OK?"…'이것' 체크 안하면 대선 투표 하러 갔다가 '날벼락'

제21대 대통령 선거 본 투표가 3일 진행되고 있는 가운데 처음으로 모바일 신분증이 허용돼 관심이 집중된다. 이날 투표 시간은 오전 6시부터 오후 8시까지로, 만 18세 이상 유권자라면 누구나 참여할 수 있다. 투표에 참여하기 위해선 신분증을 반드시 지참해야 한다. 현재 본인 확인이 가능한 신분증으로는 주민등록증, 운전면허증, 여권, 공무원증, 국가보훈등록증(구 국가유공자증), 장애인복지카드, 학생증 등 관공서 또는 공공기관이 발행하고 사진이 첨부돼 있는 것만 인정된다. 모바일 신분증도 이번에 처음으로 가능해졌다. 다만 화면 캡처 등 이미지 파일은 인정되지 않는다. 스마트폰으로 패스(PASS) 앱이나 국내 SNS·포털 기반 모바일 신분증을 현장에서 구동할 수 있을 때만 유효하다. 최근 SK텔레콤 해킹 사고로 유심을 교체한 이들도 모바일 신분증을 이용하려면 투표 전 주의가 필요하다. 일부 서비스는 재등록을 해야 이용 가능하기 때문이다. SK텔레콤에 따르면 지난달 22일 대규모 유심 정보 해킹 사고 발표 이후 지난 1일까지 유심을 교체한 이들은 누적 575만 명이다. 아이폰(iOS)은 물론 삼성전자, 샤오미, 화웨이 등 안드로이드 운영체제(OS) 스마트폰 사용자 모두 신분증 서비스를 재등록해야 한다. 삼성전자 스마트폰에서 제공하고 있는 '삼성월렛' 모바일 신분증도 마찬가지다. PASS 측은 "재등록 안내 팝업이 뜨지 않거나, 유심 교체 후 이미 재등록을 완료한 고객은 기존처럼 바로 서비스 이용이 가능하다"고 설명했다. 카카오톡 지갑의 전자증명서를 이용해 본인확인을 하는 경우에는 신분증 재발급 필요는 없다. 그러나 유심을 교체했을 경우 카카오 인증서를 재발급받고 인증서 서명을 다시 해야 전자증명서를 발급받을 수 있다. 물리적으로 유심을 교체한 것이 아니라 소프트웨어 방식으로 유심 정보를 변경한 경우에는 별도의 재등록 없이 사용이 가능하다. 행정안전부에서 제공하는 모바일 신분증을 쓰는 경우에도 재설정 필요 없이 그대로 사용 가능하다. SK텔레콤, KT, LG유플러스 등 이동통신 3사는 선거 당일 통신망을 집중 모니터링할 계획이다. KT는 24시간 상시 모니터링을 진행하고, LG유플러스는 비상상황에 긴급 대응이 가능한 종합상황실을 운영한다.

2025.06.03 13:56장유미

SKT 유심 해킹이후 유출 개인정보 악용 보이스피싱 시도 기승

SK텔레콤(SKT) 유심 해킹 사고 이후 유출된 개인정보를 악용한 보이스피싱 시도가 여전히 활발히 이어지고 있는 것으로 나타났다. 인공지능(AI) 보안 전문기업 에버스핀(대표 하영빈)은 악성앱 탐지 솔루션 '페이크파인더(FakeFinder)'를 통해 확인된 최근 2~3주간의 모니터링 내부 보고서를 분석한 결과, 사태 초기와 동일한 공격 패턴이 반복적으로 포착되고 있다고 26일 밝혔다. 에버스핀은 앞서 지난 8일 'SKT 해킹으로 인한 사회적 혼란을 악용한 피싱 시도가 급증하고 있다'며 관련 사례를 최초로 공개한 바 있다. 당시 '피해구제국''SK쉴더스' 등을 사칭한 악성앱이 원격제어 앱과 함께 설치돼 10분 만에 피해자 기기에 침투하는 시나리오가 실제 포착되며 주목받았다. 에버스핀은 이후 약 2주간 추가로 수집된 패턴을 분석한 결과, 동일한 방식의 악성앱 유포가 지속해서 발생하고 있으며, 기존과 유사한 사회공학적 접근 방식으로 설치가 반복되고 있다고 전했다. 실제로 5월 1~2주차 탐지 내역에서도 기존과 같은 AnyDesk·알집·사칭 앱 순으로 설치된 로그가 여러 차례 확인됐다. 특히 이번 모니터링에서는 '스마트세이프''한국소비자원' 등 기관명을 사칭한 악성앱도 새로 발견됐다. '한국소비자원' 사칭 앱은 SKT 사태 직후인 5월 초 탐지 빈도가 급격히 상승한 것으로 나타났다. 해킹사태 이후 이를 구제해 준다며 접근해 설치된 것으로 추정된다. 에버스핀 관계자는 “과거에도 유사 명칭 악성앱은 꾸준히 탐지된 바 있지만, 최근 수치는 명백히 특정 이슈에 편승한 조직적 유포로 해석된다”고 설명했다. 악성앱들은 단순한 정보 수집을 넘어 전화 가로채기·추가 악성앱 설치 유도 등 복합적인 기능을 수행하며 피해자 본인이 공격 사실을 인지하기 어려운 점이 특징이다. 에버스핀 관계자는 “현재 관련 악성앱·설치 패턴에 대한 정보를 유관기관과 실시간 공유하며 피해로 이어지지 않도록 면밀히 모니터링 중”이라며 “보이스피싱은 사회적 이슈에 따라 빠르게 진화하는 만큼, 지속적인 주의와 경각심이 무엇보다 중요하다”고 강조했다. 한편, 에버스핀은 이러한 추이를 빠르게 감지할 수 있었던 배경으로 '페이크파인더'가 국내 53개 주요 금융사 앱에 In-App SDK 형태로 내장돼 있고 약 4천300만 금융 사용자의 기기를 실시간으로 보호하고 있기 때문이라고 설명했다. 페이크파인더는 KB국민은행·카카오뱅크·우리카드 등과 연동된 클라우드 기반 플랫폼을 통해 국내에서 가장 방대한 악성앱 데이터를 실시간으로 수집 및 분석하고 있다. 에버스핀은 특히 SKT 해킹 이후 급증한 금융 피싱 사고의 확산을 선제적으로 막기 위해, 페이크파인더를 도입한 금융사 중 한 곳에서라도 악성앱이 탐지될 경우, 해당 기기 정보를 실시간으로 다른 금융사와 공유해 사전 차단할 수 있도록 하는 'RTAS(Real-time Threat Alarm Service)' 확산에도 나설 계획이다.

2025.05.26 11:05주문정

보안 없이 AI시대 없다···"보안 투자 비율 10% 의무화 필요"

윤석열 전 대통령의 탄핵 이후 들어서는 새 정부는 정치 혼란 속에서도 산업과 기술의 방향을 다시 세울 중대한 책임을 떠안았다. 동시에 세계는 기술의 또 다른 거대한 전환점을 맞고 있다. 인공지능(AI)이 특정 산업의 기술을 넘어, 모든 산업에 스며드는 '기반 인프라'로 자리 잡고 있는 것. 자동차에서 헬스케어, 게임, 미디어, 금융에 이르기까지 AI는 이미 산업 생태계의 기초 체력으로 작동하기 시작했다. 지디넷코리아는 창간 25주년을 맞아 이 격변의 시점에서 AI 기반 산업 대전환기에 진입한 대한민국의 산업 현장을 진단하고, 각 산업 전문가들과 함께 'AI 시대, 새 정부가 해야 할 일'을 짚어본다. [편집자주] SK텔레콤(SKT) 해킹 사태로 온 나라가 떠들썩하다. 이런 사태가 다시 일어나지 않도록 하려면 새 정부는 무얼해야 할까. 산학 보안전문가들은 정보보호에 대한 투자 확대와 정부의 사전 예방 정책을 주문했다. 한국정보보호산업협회(KISIA)에 따르면 2023년 기준 한국 사이버 보안 시장 규모는 세계 10위다. 이를 떠받치는 국내 정보 보안 업체는 814개사다. 이 가운데 최근 3년 평균 매출이 800억원 넘는 중견기업은 안랩·이글루코퍼레이션·윈스 3개사 뿐이다. 사실상 중소기업이 모여 세계 10위가 됐다고 볼 수 있다. 우리나라의 보안 분야 잠재력은 크다고 평가된다. 실제 국내 사이버 보안 산업은 최근 3년 동안 연 평균 11.83% 성장했다. 세계 사이버 보안산업 성장률(11.9%)과 비슷한 수준이다. 같은 기간 국내 소프트웨어(SW) 산업 성장률(7.98%)보다 높다. 우리나라는 북한이라는 세계 최고 수준 해커 국가가 '상수'로 존재한다. 어떻게 대응하는냐에 따라 세계최고 방패국가가 될 수 있는 것이다. 와중에 한국 사이버 보안 역사에 흑역사로 남을 사건이 터졌다. 국내에서 가장 많은 사람이 이용하는 이동통신사 SK텔레콤이 해킹당한 사실이 지난달 알려졌다. 2천600만명의 가입자식별모듈(USIM·유심) 정보가 빠져나갔다. 국가 감독과 대기업 보안을 믿었던 국민 절반이 개인정보 유출로 전전긍긍하고 있다. 산업계는 '사이버 보안 없이 AI 시대는 없다'고 지적한다. 맞는 말이다. 보안이 뒷받침되지 않으면 국민은 마음놓고 AI를 쓸 수 없다. “AI 투자 100조 중 10조원은 정보보호에” 국내 정보보호 산업을 대표하는 KISIA는 인재를 키우고 수출을 늘리면 한국이 세계 3위 사이버 보안 강국이 될 수 있다고 봤다. 정부 투자가 절실하다는 입장이다. 조영철 KISIA 회장(파이오링크 대표)은 “AI에 100조원을 투자하면 10조원 이상 정보보호에 써야 한다”며 “공공·민간 분야가 정보화에 투자할 때 보안 투자 비율을 10% 이상으로 의무화해야 한다”고 주장했다. 배환국 KISIA 수석부회장(소프트캠프 대표)은 “정부가 AI를 위한 보안(Security for AI), 보안을 위한 AI(AI for Security) 둘 다 중요한 정책으로 다루길 바란다”며 “AI 발전이 중요한 만큼 이를 지킬 보안도 더불어 진흥해야 한다”고 강조했다. 그러면서 “성능 좋은 자동차는 엔진·가속페달과 아울러 브레이크 페달도 뛰어나다”며 “보안은 단순한 브레이크가 아니라 안전 장치”라고 들려줬다. 김진수 KISIA 수석부회장(트리니티소프트 대표)은 “정보 보호에 더 투자하지 않으면 AI로 인한 수준 높은 공격을 감당할 수 없다”며 “하루빨리 최악에 대비해 대규모 모의 해킹을 해 봐야 한다”고 지적했다. 그는 “KISIA가 '정보 보호 예산을 2배로 늘려야 한다'고 하니 비웃는 소리가 들린다”며 “심각한 사고가 나면 '큰돈이 아니구나' 깨달을 것”이라고 덧붙였다. “국가, AI보안 챙겨야 북한·중국 맞서” 개별 기업도 국가 차원의 AI 보안 체계를 주문했다. 윤두식 이로운앤컴퍼니 대표는 “국가 차원의 AI 보안 체계를 세워야 한다”며 “적극적으로 예산을 투입해 국가 사이버 보안 콘트롤타워를 설립해야 한다”고 밝혔다. 윤 대표는 “AI 시대가 다가오면서 미국과 중국의 엄청난 AI 기술과 자본에 한국은 밀렸다”며 “이대로는 북한·중국처럼 나라 지원을 받고 공격하는 데 당할 수밖에 없다”고 꼬집었다. 최영철 SGA솔루션즈 부회장은 “새로운 정부는 SK텔레콤 같은 해킹 사태가 다시 생기지 않도록 정보기술(IT) 보안 예산을 크게 늘려 민간·공공·국방 보안 체계를 강하게 할 필요가 있다”며 “여기에 '제로 트러스트(Zero Trust)'처럼 새로운 방법을 빠르게 적용할 기반을 다져야 한다”고 밝혔다. 제로 트러스트는 '절대 믿지 말고 항상 검증하라'는 개념이다. 외부 망은 당연하고 내부 망도, 모든 망은 해킹됐다고 전제하고 접근을 제한한다. 강병탁 AI스페라 대표는 “정부가 서비스형 소프트웨어(SaaS)를 전략적으로 투자할 자산으로 봐야 한다”며 “한국 공공기관이 여전히 구축에만 의존하는 데 반해 해외는 이미 SaaS 중심으로 AI를 도입한다”고 전했다. 이어 “한국은 SaaS를 도입하는 예산을 아예 편성하지 않는다”며 “SaaS를 비용으로 여긴다”고 분석했다. “디지털 안전은 곧 국민의 삶” 학계는 더 다양한 생각을 내놨다. 박영호 한국정보보호학회장(세종사이버대 정보보호학과 교수)은 '디지털 국민복원력 법(가칭)'을 새 정부에 제안했다. SK텔레콤 해킹 사례에서 보듯 사이버 사고는 개인정보 유출을 넘어 온국민이 불편하고 불안해지기 때문이다. 박 교수는 “디지털 안전은 곧 국민의 삶”이라며 “현행 '정보통신망 이용촉진 및 정보보호 등에 관한 법률'과 '전자정부법' 등은 기술과 공공기관 관리를 집중하지, 국민 복지는 뒷전”이라고 짚었다. 이어 그는 “통신·금융·의료 등을 '사이버 공공재'로 지정하고서 사고 피해자에게 금융을 지원하고 대체 서비스를 알리고 심리 상담을 하자”며 “재난 교육처럼 사이버 위기 대응 교육을 정규화하고, 국가 주도로 AI 통합 사이버 관제탑(SOC)을 설치할 필요가 있다”고 제시했다. 염흥열 한국개인정보보호책임자(CPO)협의회장(순천향대 정보보호학과 명예교수)은 “SK텔레콤이 해킹당해 온나라가 손실 입었으니 부문별 위험을 평가하는 게 좋다”며 “국민이 인터넷 세상을 믿을 수 있어야 한다”고 말했다. 염 협의회장은 “AI 보안과 개인정보 보호에 힘쓰는 국가 체계를 확립해야 한다”며 AI 보안 산업 육성, 인력 양성, 국제 표준화 추진을 과제로 꼽았다. 김용대 한국과학기술원(KAIST) 과학치안연구센터장(전기 및 전자공학부 교수)은 “정책으로 '보안하고 싶다'는 동기를 부여해야 한다”며 “한국 보안 정책은 개인·기업·국가가 '보안하고 싶다'고 생각하고 적은 '해킹하지 말아야겠다'는 생각을 하게 하느냐”고 되물었다. 김 교수는 “'석 달에 한 차례 비밀번호를 바꾸라'기에 어딘가 적어두거나 기억하기 쉽게 숫자만 바꿔쓰는 사람이 많고, 회사는 '보안하려면 돈 든다'면서 최소 규제만 충족하려고 몇 가지 보안 장비만 설치한다”며 “과학기술정보통신부에 '침해대응과'는 있지만 '침해예방과'는 없는 현실을 봐도 일 터지고 나야 대응하는 데 급급하다”고 말했다.

2025.05.26 08:58유혜진

고학수 개보위원장 "SKT 해킹, 국민이 이미 큰 피해"

고학수 개인정보보호위원장이 SK텔레콤 해킹으로 국민이 이미 큰 피해를 당했다고 일침을 날렸다. 개인정보가 털린 데다 국민이 불안해 가입자식별모듈(USIM·유심)을 바꾸려 새벽부터 몰리는 일 모두 피해 양상이라는 입장이다. 고 위원장은 21일 서울 중구 은행회관에서 열린 '개인정보 정책 포럼' 기자간담회에서 “SK텔레콤은 역대급 사고를 냈다”며 “국민 믿음이 무너지는 매우 중대한 사건”이라고 말했다. 그는 “SK텔레콤 고객과 일반 국민 관점에서 이 사건을 바라봐야 한다”며 “회사를 믿었던 고객 2600만명이 엄청난 피해를 입었다”고 강조했다. 고 위원장은 “'피해를 증명하면~'이라는 단서를 다는 사람이 있지만, 이미 어마어마한 피해가 발생했다는 게 핵심”이라며 “개인정보 나간 것 자체가 피해”라고 지적했다. 그는 “국민이 불안한 게 또 피해”라며 “'내 전화번호 나가서 어떡하지' 불안해하고 유심 바꾸려 새벽부터 줄 서고 시간 쓰고 돈 쓰고 애쓰면서 혼란스러워한다”고 전했다. 그러면서 “이게 피해가 아니면 무엇이 피해냐”며 “자꾸 '정보 유출로 인한 피해가 없다'거나 '복제폰 못 만들어서 피해 없다'고 하지 말라”고 비판했다. 이어 “복제폰 같은 2차 피해가 터져야 피해 생겼다고 말하는 것은 잘못”이라며 “2차 피해는 당연히 이후 감시하고 최소화해야 한다”고 덧붙였다. 고 위원장은 “SK텔레콤이 피해를 막지 못했다”며 “왜 못 막았는지, 어떤 안전 조치를 안 지켰는지 개인정보위가 철저하게 조사해 SK텔레콤이 법을 어겼다면 강력히 제재할 것”이라고 밝혔다. 과징금에 대해서는 “LG유플러스와 차원이 전혀 다른 유례없는 상황”이라고 언급했다. SK텔레콤 고객 정보가 빠져나가 징벌적손해배상도 화두로 떠올랐다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 털어놨다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 나섰다. SK텔레콤이 소비자에게 '개인정보가 유출됐다'고 하지 않고 '가능성이 있다'며 빠져나갈 구멍을 만든 데에도 쓴 소리를 했다. 고 위원장은 “개인적으로 굉장히 유감”이라며 “'유출 가능성', '조사 결과 나중에 필요하면 알리겠다'는 식은 개인정보보호법이 요구하는 바가 아니다”라고 주장했다. 그는 “이렇게 큰 회사가 몇 주 지날 때까지 통지하지 않은 것도 잘못”이라며 “법적으로 제때 통지하지 않으면서 그마저도 부실하게 통지했다”고 목소리를 높였다. 다만 “개인정보위는 SK텔레콤이 충실하게 이행하지 않았다고 생각해 '통지가 미흡했다'고 회사에 공문 보냈다”며 “'다시 통지하라'고 하기에는 실익이 떨어져 처분 과정에 이런 통지 내용을 반영할 것”이라고 설명했다.

2025.05.21 22:56유혜진

개인정보위 처벌 세진다···"징벌적 손해배상 수준 높일 것"

SK텔레콤(SKT)에서 2600만 개인정보가 털려 나가자 징벌적손해배상을 해야 한다는 목소리가 커졌다. 고학수 개인정보보호위원장은 21일 서울 중구 은행회관에서 한국개인정보보호책임자(CPO)협의회와 '개인정보 정책 포럼'을 열고 이같이 발표했다. 고 위원장은 “개인정보보호법에 징벌적손해배상 관련 조항이 있다”면서도 “법원이 해석한 관례는 소비자 눈높이와 달라 상당히 아쉽다”고 밝혔다. 또 “법과 제도를 고쳐야 한다고 생각한다”며 “소비자 개인이 당한 피해를 실제로 구제하는 방안을 마련하겠다”고 말했다. 현재 개인정보위는 개인정보유출 기업에 대해 과태료와 과징금만 부과하고 있다. 강대현 개인정보위 조사총괄과장도 “징벌적 손해배상 수준으로 처벌 수위를 높여 정보주체가 당한 피해를 실질적으로 구제하겠다”며 “구체적으로 피해를 보상하는 방안과 과징금을 부과하는 기준을 연계하도록 추진할 것”이라고 강조했다. 고낙준 개인정보위 신기술개인정보과장은 “기업이 정보주체 피해를 보상하면 과징금을 감면하는 방법을 생각하고 있다”며 “과징금과 과태료만으로는 실제 피해를 구제하는 데 한계가 있다”고 지적했다. 그러면서 “SK텔레콤이 개인정보를 암호화하지 않았던 게 문제”라며 “법정 의무 암호화 대상이 아닌 개인정보도 암호로 만들었다면 개인정보가 유출됐다고 해도 과징금을 줄여줄지 검토하고 있다”고 덧붙였다. 개인정보위는 이런 대책에 각계각층 의견을 받아 다음 달 방침을 확정하기로 했다. 아울러 SK텔레콤 사고로 큰 위기를 맞았다고 봤다. 강 과장은 “최근 개인정보 유출 사고는 해킹 같은 사이버 범죄로 규모가 커졌다”며 “작은 물구멍이 커져 댐이 무너지듯 일어난다”고 짚었다. 지난달 국내에서 유출된 개인정보는 SK텔레콤 2500만건에 기타 1100만건을 더한 3600만건으로, 지난해 3배다. 지난해에는 1377만건 빠져나갔다. 고 과장은 “SK텔레콤 고객 정보 유출 사고는 인공지능이 발전하는 시대 핵심인 믿음을 무너뜨린 중대한 사건”이라며 “100만명 이상 개인정보를 취급하는 기업을 중심으로 새로운 기준을 적용하려고 한다”고 설명했다.

2025.05.21 22:55유혜진

"기술이 뚫려도 제도가 막았어야"...유심 해킹 민낯

해킹을 완벽히 막을 수 없다면, 피해 확산을 막는 제도와 기술이 기본값이 돼야 한다. SK텔레콤 유심 해킹 사고는 통신 인프라의 구조적 취약성과 함께, 사후 대응과 이용자 보호 시스템의 한계를 드러냈다. 초기 대응부터 인증 정보 암호화와 정보보호 최고책임자(CISO) 제도도 실효성에 의문이 제기됐다. 즉 기술뿐 아니라 대응과 제도까지 포함한 시스템 전체의 문제를 보여주며 근본적인 재정비가 불가피하다는 지적이다. 유심보호서비스, 왜 처음부터 자동가입 못했나 유심보호서비스는 통신 3사 모두 무료로 제공하는 부가서비스다. 유심 무단 변경을 막는 기능을 갖추고 있지만 이용자 스스로 직접 가입해야 하는 형태다. 해킹에 따른 피해를 사전에 차단하기보다는 사후에 유심 변경을 제한하는 보조적 조치에 가깝다. 침해사고 직후 SK텔레콤은 유심보호서비스 가입을 적극 권장했으나 일시적으로 가입 신청이 몰리며 T월드 앱 서비스의 접속 폭주로 고객 불만이 빗발쳤다. 아울러 로밍 요금제와 동시 가입이 불가능한 탓에 해외 체류자나 여행객의 불안감을 더욱 키웠다. SK텔레콤은 T월드 앱에서 원터치 가입이 가능하도록 개선하고, 이용 약관 개정 신고를 통해 자동가입 절차를 뒤늦게 시행했다. 로밍요금제와 동시 이용이 가능한 업그레이드 버전도 선보였으나 사고 이후 유심보호서비스를 기본값으로 제공하지 않았다는 비판이 거세게 나왔다. 국회 청문 과정에서 "이용자가 알지 못하면 보호받지 못하는 구조"라는 비판과 함께 유심 교체 이후 보호서비스 자동 연동이 이뤄지지 않은 점도 지적을 받았다. 박진호 동국대 컴퓨터•AI학부 교수는 "유심보호서비스는 유심을 사용하는 모든 이용자에게 기본값으로 자동 적용돼야 한다"며 "몇백 원 절감하겠다고 이용자에게 수동 설정을 요구할 게 아니라, 보호 기능을 끄는 선택지만 남기는 구조로 바꿔야 한다"고 강조했다. 정부 차원의 통합 보안 가이드라인 부재도 구조적 허점으로 지목됐다. 더불어민주당의 이정헌 의원은 청문에서 "금융 앱은 생체인증 같은 기본 보안장치를 기본값으로 제공하는데, 유심같이 중요한 영역은 왜 기본 방어체계조차 제공하지 않는지 따져볼 필요가 있다"고 지적했다. 가짜뉴스 방치…"정보 공백이 더 큰 피해 낳았다" 침해사고 직후 일부 온라인 커뮤니티와 SNS에서는 “해킹되면 계좌의 모든 돈이 빠져나간다”는 식의 확인되지 않은 주장과 과장된 정보가 빠르게 확산됐다. 불안에 휩싸인 일부 이용자들은 모바일 뱅킹 앱을 삭제하거나 위약금을 내고 다른 통신사로 번호이동 사례도 나타났다. 이 과정에서 정부나 침해사고 당사자인 SK텔레콤이 국민의 우려를 불식시키는 노력이 부족했다는 지적을 피하기 어렵다. 염흥열 순천향대 정보보호학과 교수는 “유심 정보 유출만으로 금융 피해로 직결되기는 어렵다”며 “복제폰 제작, 금융 앱 접근 정보 탈취 등 여러 단계의 추가 수단이 필요해 현실적으로 가능성은 낮다”고 설명했다. 그는 또 “IMEI 유출 가능성이 제기된 만큼, 초기 단계부터 정보의 위험성과 해명 내용을 명확히 전달했어야 했다”며 “유심 교체 방침을 발표할 당시 수급 상황을 고려하지 않은 점도 문제였다”고 지적했다. 국회 입법조사처는 최근 발표한 '통신사 해킹 사고 사후 대응의 문제점과 입법과제' 보고서에서 "사고 직후 정부와 통신사가 허위 정보 확산에 효과적으로 대응하지 못했고, 이용자에게 신뢰를 줄 수 있는 조기 안내 체계도 부재했다"며 "초기 단계부터 투명한 정보 공개와 허위 정보 대응 매뉴얼을 갖추는 것이 제도적 과제"라고 밝혔다. 박진호 교수는 "SK텔레콤과 같은 대기업이라면 매뉴얼 자체가 없었을 리는 없지만, 디테일이 부족했다"며 "예고된 공격에도 선제 대응이 미흡했고, 사후 조치에서도 홍보·안내 체계가 부족했다"고 지적했다. 이어 "이심(eSIM)은 실물 유심 탈취 위험이 없어 해킹 저항성이 더 높다"며 "통신사는 이심 전환과 관련한 가이드와 보호 옵션 안내를 더욱 명확히 해야 한다"고 덧붙였다. 유심 정보 암호화, 이제는 '의무'로 SK텔레콤의 침해사고 계기로 통신망에 저장되거나 전송되는 유심 관련 인증 정보의 암호화 저장 필요성이 본격적으로 제기됐다. 현재 인증 절차에 사용되는 유심 고유번호, 인증 토큰 등 일부 식별 정보는 통신사 시스템 내에서 평문으로 저장되거나 암호화되지 않은 채 전송되는 구조가 여전히 존재해 해킹 시 탈취 위험이 남아있다는 것이다. 기술적 조치 수준에서도 통신 3사 간 격차가 존재한다. KT는 2021년부터 IMSI 암호화 기능이 적용된 5G USIM을 도입했고, LG유플러스는 PUF(물리적 복제 불가능 함수) 기반의 고보안 유심을 상용화했다. 반면 SK텔레콤은 이번 사고 시점까지 암호화 조치를 적용하지 않았고, 사건 이후에야 관련 체계 강화에 착수했다. 국제 표준도 이와 관련한 최소한의 보안을 요구하고 있다. 5G SA 환경에서는 가입자 식별정보(SUPI)를 암호화된 형태(SUCI)로 전송해야 한다는 규정이 3GPP TS 33.501 표준에 명시돼 있다. 이는 LTE 시절 IMSI가 평문으로 전송되던 보안 취약점을 개선하기 위한 조치다. 국내에서 5G SA 상용화가 아직 이뤄지지 않았고 한국을 포함한 다수 국가에서는 해당 표준이 법제화로 이어지지 않았다. 이에 대해 전문가들은 “기술적으로는 사실상 의무인데, 제도적으로는 방치되고 있는 전형적인 보안 사각지대”라고 지적한다. 염흥열 교수는 “5G SA 환경에서는 전송 구간 암호화는 표준상 필수지만, 저장은 통신사 자율에 맡겨진 상황”이라며 “KT, LG유플러스는 암호화를 적용했지만 SK텔레콤은 하지 않아 업계 기준을 따르지 않은 셈”이라고 밝혔다. 이어 “민감 정보 저장 시 암호화를 의무화하는 법적 규제가 필요하다. 개인정보보호법이나 정보통신망법 개정을 통해 이를 보완해야 한다”고 강조했다. CISO 제도, '명문화'에서 '내실화'로 현행 정보통신망법에 따르면, 매출 1천500억원 이상이거나 일평균 이용자 수 100만 명 이상인 정보통신서비스 사업자는 정보보호최고책임자(CISO)를 지정해 신고해야 한다. 과거 대규모 정보 유출 사건을 계기로, 기업 내 보안 책임자 제도화를 통해 정보보호 역량을 강화하겠다는 취지로 도입됐다. 법적으로 CISO는 정보보호 정책 수립, 보안 예산 및 인력 운영, 사고 대응 총괄 등의 역할을 맡지만, 현실에서는 제도의 명문화와 실질 운영 사이 간극이 크다는 지적이 꾸준히 제기돼 왔다. 많은 기업이 CISO를 CTO, CIO 등과 겸직시키고 있으며, 독립적인 예산 편성과 정책 집행 권한도 제한적인 경우가 많다. 특히 CISO가 CEO에게 직접 보고하지 못하고, IT 부서 산하 실무 조직에 편입되는 경우가 많아, 보안 이슈가 경영 전략이나 예산 결정에서 후순위로 밀리는 구조적 문제가 반복되고 있다. 명목상 직책은 있지만 책임과 권한이 분산돼 실질적 대응력은 떨어질 수밖에 없다. 이번 SK텔레콤 유심 해킹 사고에서도 이러한 한계가 여실히 드러났다. SK텔레콤의 정보보호실은 AT·DT센터 산하 5개 실 중 하나로, 정보보호실장이 CISO를 겸직하고 있다. 정보보호실장은 사내 임원급 인사이지만 등기임원은 아니며, 사업보고서 상 주요 경영진 명단에도 포함돼 있지 않다. 이로 인해 보안 의사결정에서 전략적 독립성과 대응력 확보에 한계가 있었다는 지적이 나온다. 전문가들은 단순히 법령상 CISO를 지정하는 것만으로는 실질적인 보안 책임이 확보되기 어렵다며, 제도의 실효성 강화를 위한 보완이 시급하다고 입을 모은다. SK텔레콤 침해사고에서 CISO 제도가 '형식적으로 존재하는 것'과 '실제 작동하는 것'은 다르다는 점을 분명히 보여줬다는 것이다. 업계 한 관계자는 "많은 기업들이 여전히 CISO를 CTO나 CIO 등과 겸직시키고 있으며, CEO에게 직접 보고하는 체계도 부족해 보안 의사결정에서 배제되기 쉽다"면서 "독립적인 보안 예산과 인력 운영 권한을 부여하고, 사고 발생 시 책임 주체가 명확해지도록 제도적 보완이 필요하다"고 말했다. 다른 관계자는 "사이버 공격 자체를 100% 막을 수는 없다. 하지만 사고 이후 책임 구조가 명확하고, 투명하게 대응할 수 있는 시스템이 구축돼 있었는가가 기업 신뢰의 기준이 된다"며 "다음 사고를 피할 수 없다면, 피해를 줄이는 체계와 책임지는 구조라도 갖춰야 한다"고 강조했다. 염흥열 교수는 "침해사고는 결국 기업 내부에 취약점이 있었다는 의미"라면서 "상시적인 취약점 제거 체계와 함께, 외부 기관에 의한 정기적인 모의 해킹 테스트도 필요하다"고 했다.

2025.05.21 09:24최이담

신규가입 제한에 SKT 갤S25엣지 예약 '차질'

SK텔레콤이 사이버 침해사고 이후 정부의 행정지도에 따라 신규 가입자 모집을 중단하면서, 갤럭시S25엣지 사전예약에 혼선이 빚어지고 있다. 이에 KT와 LG유플러스는 반사이익 기회로 삼아 마케팅 공세에 나서고 있다. 오는 23일 공식 출시를 앞두고 있는 삼성전자 갤럭시S25 엣지 사전예약은 지난 14일부터 20일까지 진행됐다. 그런 가운데 SK텔레콤이 010 신규가입과 번호이동 가입이 중단되면서 기기변경 예약만 받을 수 있는 제한적 판매 구조가 형성됐다. 통신유통 현장에서 사이버 침해사고로 신제품에 대한 기대감은 예년보다 낮다는 반응이 나온다. 업계 한 관계자는 "최근에는 교체 주기도 길어지고, SK텔레콤 해킹 이슈까지 겹치면서 소비자 심리가 많이 위축돼 있다"며 "오프라인 매장의 예약율도 기대만큼 오르지 않고 있고, 온라인도 대기 수요 중심으로 양분된 분위기"라고 말했다. 특히 신규 가입자 모집 중단 조치가 유통망에 직격탄으로 돌아오고 있다. SK텔레콤 유통망의 상당 부분을 차지하는 소매 대리점은 신규가입 개통이 전면 차단돼 손님을 돌려보내는 일이 반복되고 있다. 반면, 판매점이나 온라인 채널은 비교적 정상적인 판매를 이어가면서 온도차도 뚜렷해지고 있다. SK텔레콤 대리점 한 관계자는 "기기변경 외에는 아무런 수익이 없는 상태"라며 "유심 교체는 돈이 되지 않아 지금은 급여와 임대료를 어떻게 낼지 걱정해야 할 상황"이라고 말했다. 실제 해킹 사태 이후 SK텔레콤의 가입자 이탈은 급증했다. 한국통신사업자연합회(KTOA)에 따르면, 4월 한 달 동안 SK텔레콤에서 다른 통신사로 옮겨간 가입자는 23만6천901명으로, 전월 대비 약 87% 늘었다. 같은 기간 순감 이용자 수는 11만4천330명에 달했으며, 해킹 사실이 공론화된 4월22일부터 30일까지 일주일 사이에만 9만명이 순감한 것으로 나타났다. 그런 가운데 KT와 LG유플러스는 이번 상황을 반사이익의 기회로 삼아 사전예약 프로모션을 강화하고 있다. LG유플러스는 갤럭시S25 엣지 예약자 대상으로 AI 번역 기능 체험, 데이터 쿠폰, 최대 20만 원 상당의 할인을 제공하며, 중고폰 보상 프로그램도 운영 중이다. KT 역시 20~30대 고객층을 겨냥한 요금제 연계 이벤트와 콘텐츠 구독 혜택을 결합해 적극적인 마케팅에 나서고 있다. 이에 대해 판매점 관계자는 "갤럭시 S25 엣지로 번호이동을 문의하는 고객이 적지 않은데, 현재는 모두 기기변경 고객만 받는 상황이라 예약 자체가 줄어들고 있다"며 "신제품 마케팅 타이밍에 이런 상황이 겹쳐 SK텔레콤 입장에서는 아쉬움이 클 것"이라고 말했다. 다른 유통업계 관계자는 "이통 3사 간 스마트폰 초기 판매 비중은 점유율과 직결되는 민감한 부분"이라며 "SK텔레콤의 가입 제한이 장기화될 경우, 시장 균형에도 영향을 미칠 수 있다"고 말했다. 한편, SK텔레콤은 현재 유심 보호 서비스 확대, 예약 시스템 개편 등으로 고객 불편 최소화에 나서고 있지만, 신규 가입과 번호이동 재개 시점은 아직 확정되지 않았다. SK텔레콤 관계자는 “신규 가입 중단은 유심 교체 업무에 집중하기 위한 조치로, 기다리시는 분이 많기에 그 부분을 해소하는 게 먼저라고 생각한다”며 “지금은 고객 불편 및 보호 조치에 집중할 시기로, 신규 가입 재개 시점은 아직 미정”이라고 밝혔다.

2025.05.20 17:35최이담

"SKT, FDS 있어 불법복제폰 불가능"···보안 전문가 평가는?

과학기술정보통신부가 SK텔레콤 해킹 사고와 관련해 19일 2차 조사 결과를 발표하면서 “복제폰 피해 가능성은 없다”고 다시 한번 강조했다. 이날 류제명 과기정통부 네트워크정책실장은 SK텔레콤 침해 사고 관련 민관합동조사단 중간 조사 결과 브리핑에서 “단말기고유식별번호(IMEI)가 해커에게 공격받은 정황이 발견됐다”면서도 “이를 통해 스마트폰을 복제하는 것은 물리적으로 불가능하다”고 말했다. 제조사가 보유한 15자리 인증 번호 정보가 없으면 복제할 수 없다는 얘기다. 류 실장은 “희박한 가능성으로 복제폰이 만들어졌더라도 SK텔레콤의 비정상인증차단시스템(FDS)으로 네트워크 접속이 완벽히 차단된다”고 덧붙였다. SK텔레콤도 사태 내내 FDS가 있어 복제폰에 따른 개인정보 유출 사고 피해는 없다는 입장이다. 과연 그런지 지디넷코리아가 보안 전문가들에게 물어봤다. SK텔레콤은 FDS를 최고 수준으로 격상해 운영한다고 밝혔다. FDS는 Fraud Detection system 약어다. 직역하면 사기 탐지 시스템이다. 이동통신 부문에서는 비정상 인증을 차단하는 시스템으로 쓴다. 류정환 SK텔레콤 네트워크인프라센터장(부사장)은 19일 서울 중구 삼화타워에서 브리핑을 열고 “기존 'FDS 1.0'이 불법 유심을 막는 서비스라면 'FDS 2.0'은 불법 복제 단말도 차단한다”고 말했다. SK텔레콤은 FDS를 자체 개발한 것으로 알려졌다. 정보보호 전문가들은 SK텔레콤 주장을 믿을 만하다고 봤다. 다만 보안하는 데 '0% 가능성'이나 '100% 안심'은 없다고 했다. SK 정보보호혁신특별위원회 자문위원인 김용대 한국과학기술원(KAIST) 전기및전자공학부 교수는 “SK텔레콤은 FDS를 자체 개발해 2년 이상 운영했다”며 “이동통신망에서 생기는 이상 현상을 탐지하려면 다른 보안 회사 제품으로는 안 된다”고 설명했다. SK 정보보호혁신특별위원회 자문위원은 SK그룹이 정보 보호 활동을 하면서 잘못한 점을 지적하고 기술을 조언하는 역할을 한다. 김용대 교수는 10년 넘게 이동통신 관련 보안 논문을 썼다. 김승주 고려대 정보보호대학원 교수는 “SK텔레콤이 자체적으로 FDS를 만들어 쓰고 있다”며 “수준이 꽤 높다”고 평가했다. 한 보안 회사 대표는 “기업이 어떤 보안 제품을 쓰는지 일반적으로 공개하지 않는다”며 “'해커 먹잇감이 된다'고 생각하기 때문”이라고 전했다. SK텔레콤은 FDS 2.0으로 유심이 복제됐는지 가려낼 수 있다고 주장했다. 김용대 교수는 “SK텔레콤 고유 정보가 있는 유심인지 아닌지 FDS 2.0이 판별한다”며 “복제된 유심은 SK텔레콤 고유 정보를 다 담지 못해 인증을 통과할 수 없다”고 분석했다. 김승주 교수는 “SK텔레콤에 악성 코드가 처음 설치된 게 3년 전이라면 그때부터 정보가 유출되기 시작했다고 봐야 한다”면서도 “그때는 지금처럼 FDS가 고도화하지 않았지만 지난 3년 동안 복제폰으로 인한 금융 계좌 해킹 신고는 접수되지 않은 것으로 안다”고 전했다. 김휘강 고려대 정보보호대학원 교수는 “SK텔레콤이 내부에서 사용하는 FDS 탐지 알고리즘을 외부에 공개하기 어려울 것”이라며 “알고리즘이 노출되는 순간 해커에게 좋은 정보가 된다”고 설명했다. 그래서 “SK텔레콤이 쓰는 FDS 2.0 상세 정보가 없다”며 “안전한지를 판단할 수 없다”고 들려줬다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “기존 유심 보호 서비스에 기능이 향상된 FDS를 이용하면 불법 복제폰을 차단할 수 있을 것 같다”면서도 “SK텔레콤도 복제폰이 만들어질 가능성이 0은 아니라고 했듯 최악의 경우를 고려해 FDS가 적절히 동작하도록 하고, 유심을 바꾸는 추가 조치가 필요하다”고 강조했다. 세종사이버대 정보보호학과 교수인 박영호 한국정보보호학회장은 “FDS는 사용 양상이 평소와 다른지 살펴 불법 복제폰을 판단하는 기술”이라며 “어느 정도 방어할 수 있지만 완전히 막을 수는 없다”고 분석했다. 또 다른 보안 기업 대표도 “보안 업계에서 100% 막을 수 있다는 말을 할 수 없다”며 “FDS로 보안 확률을 높일 수는 있다”고 말했다.

2025.05.20 16:01유혜진

"IMEI로 복제폰 불가능"…SKT, '추가 유출 없다' 재확인

SK텔레콤이 유심 해킹 사태와 관련해 "현재까지 추가 유출은 없으며, 복제폰 우려도 기술적으로 불가능하다”고 밝혔다. 류정환 SK텔레콤 네트워크인프라 센터장은 19일 오후 열린 일일브리핑에서 “IMEI 29만 건은 외부 유출이 아닌, 일시 저장된 파일에서 내부적으로 확인된 것”이라며 “IMEI만으로는 복제가 불가능하고, 설사 복제 시도가 있더라도 망 접속은 제조사와 통신사의 다중 인증 절차를 거쳐 차단된다”고 밝혔다. 이어 그는 “단말 제조사로부터도 복제는 물리적으로 어렵다는 확인을 받았다”고 덧붙였다. SK텔레콤은 유심 교체와 함께 '고객 안심 패키지'를 제공하고 있다. SK텔레콤에 따르면 현재까지 219만명이 유심을 교체하고, 11만4천명의 유심을 재설정했다. 이외에 662만명의 대기 고객이 존재한다. 류 센터장은 “전 고객에게 '복제 단말 차단 기능'을 포함한 FDS 2.0(이상 탐지 시스템)을 적용했고, 고객불만 접수 내역(VOC) 39만 건을 전수 검토했지만 관련 피해는 없었다”고 말했다. 이번 사고로 악성코드 수와 감염 서버 수가 늘어난 데 대해서는 "전수조사 과정에서의 결과일 뿐, 현재는 모두 격리 조치된 상태"라고 설명했다. 류 센터장은 “고객 불안과 불편에 대해 진심으로 사과드리며, 앞으로도 신뢰 회복을 위해 최선을 다하겠다”고 밝혔다.

2025.05.19 15:06최이담

정부 "IMEI 조합만으론 복제폰 못 만들어"

SK텔레콤 사이버 침해사고 민관합동조사단의 중간 조사 결과 단계에서 유출 가능성이 있는 정보로는 국민들의 우려가 컸던 복제폰 생성은 불가능하다고 정부가 19일 밝혔다. 이날 최우혁 과학기술정보통신부 정보보호네트워크정책관을 단장으로 하는 민관합동조사단은 2차 조사 결과 발표 브리핑에 따르면, 총 23대의 감염 서버에서 BPFDoor 계열 악성코드 24종과 웹셸 계열 악성코드 1종이 발견됐다. 특히 1차 조사 결과 발표에서 악성코드 감염 서버에서 단말기 고유식별번호(IMEI) 저장이 이뤄지지 않았다고 강조했으나, 이번 조사 결과에서는 2대의 서버에 29만여 건의 IMEI 데이터가 임시저장된 것으로 확인됐다. 다만, 15자리 숫자 조합의 IMEI가 유출됐다고 하더라도 심 스와핑이 가능한 쌍둥이 복제폰은 만들어질 가능성이 없다고 선을 그었다. 류제명 과기정통부 네트워크정책실장은 “최악의 경우를 고려해 유심보호서비스는 안전한 것인지 걱정이 많을 텐데 문제 서버를 발견한 즉시 사업자(SK텔레콤)에도 모든 가능성에 대비하라고 요구했다”고 운을 뗐다. 이어, “SK텔레콤이 설명하겠지만 부정가입 접속방지시스템, 이른바 FDS라고 하는 시스템에서 기술적 고도화 작업을 거쳐 설사 복제 쌍둥이폰이 만들어졌다고 하더라도 기존 폰이 무용지물이 되는 일을 무력화하기 때문에 기술적으로 우려가 없다고 판단하고 있다”고 밝혔다. 류 실장은 또 “다양한 방식으로 제조사와 확인하는 과정을 거치고 있는데. IMEI 노출된 IMEI 값은 열다섯 자리의 숫자 조합인데 그 숫자 조합만 가지고는 복제품, 쌍둥이 폰은 원천적으로 불가능하다는 것이 제조사들의 해석”이라고 설명했다. 그러면서 “IMEI 숫자 외에 단말과 숫자를 인증하는 인증키 값을 제조사들이 갖고 있기 때문에 이 폰 자체가 열다섯 자리 숫자만 복제됐다 해서 작동하는 것이 아니라는 게 제조사의 설명이다”고 덧붙였다. 류 실장은 특히 “최악의 경우라도 현시점에서 그리고 그동안의 피해 사례나 모니터링 결과, 저희가 상당히 높은 수준의 경계 상태를 유지해 왔는데 그런 상태에서 피해가 발생하지 않았다는 점, 그리고 또 현재 작동하고 있는 그런 기술적 시스템들로 이런 우려들은 안 하셔도 되는 정도의 그런 기술적 완성도는 갖고 있다는 판단을 하고 있다”고 강조했다. 조사단은 사이버 공격 정황이 있는 서버의 정보가 유출되지는 않은 것으로 파악하고 있다. 최우혁 국장은 “로그가 남아있는 부분에 대해서는 유출이 되지 않은 점은 분명하다”며 “조사단에서는 (로그가 남아있지 않은) 그 기간에 대해서 자료가 남아있지 않기 때문에 어떤 추정도 어려우나 대신에 저희가 수사 상황이라든지 또 다른 추정 근거인 다크웹이라든지 이런 데를 모니터링하고 있는데 (정보 유출 정황이) 아직까지 확인된 바가 없다”고 밝혔다. 내달 말까지 조사를 진행키로 목표를 세운 가운데 정부는 최대한 철저한 조사를 이어간다는 방침을 거듭 강조했다. 류 실장은 브리핑 질문을 받기 전에 “"해킹 사고의 특성상 악성코드 발견이 어렵고, 발견 이후 분석에도 시간이 걸리는 상황”이라며 “악성코드를 공유해 피해 확산을 막는 동시에 보이지 않는 해커를 상대하는 데 따른 조사와 분석의 어려움이라는 딜레마가 존재한다”고 했다. 그러면서 “이번 해킹에서 사용된 악성코드와 공격 방식은 기존보다 훨씬 정교하고 분석에 많은 노력이 필요한 수준”이라며 “잠재된 위험을 끝까지 파헤치기 위해 강도 높은 조사에 착수한 상태”라고 강조했다. 그는 또 “4차에 걸친 강도 높은 조사 작업이 계속 반복되면서 IMEI 값을 호출하는 과정이 담긴 시스템에 이런 자료가 있다는 걸 저희가 추가로 발견하게 된 것”이라며 “앞으로도 5차 작업들이 진행되고 있는데 그동안 분석하지 못했던 것들이 있을 수 있어 여러 우려를 해소할 수 있는 다양한 방법을 사업자에 요구했다”고 덧붙였다.

2025.05.19 12:25최이담

카스퍼스키 "SKT 해킹, 이렇게 하면 막을 수 있었다"

러시아 정보보호 기업 카스퍼스키는 14일 기자간담회를 열고 "SK텔레콤(SKT) 같은 대형 해킹 사고는 발생하기 전 다크웹(Dark web)에서 징조가 나타난다"고 밝혔다. 다크웹은 인터넷을 쓰지만, 접속하려면 특정 프로그램을 사용해야 하는 웹을 가리킨다. 이날 아드리안 히아 카스퍼스키 아시아·태평양지역 사장은 서울 여의도 페어몬트호텔에서 열린 기자간담회에서 “SK텔레콤 사태를 포함해 최근 몇 달 동안 심각한 침해 사고가 한국은 물론이고 일본과 싱가포르에서도 나타났다”며 “카스퍼스키가 날마다 새롭게 찾은 바이러스는 2023년 40만개에서 2024년 47만개로 20% 늘었다”고 말했다. 그는 “이렇게 급증하는 이유는 북한 라자루스 같은 사이버 범죄 집단이 인공지능(AI)을 기반으로 수준 높은 공격을 하기 때문”이라며 “방화벽 하나로 막다가 '위험하다'니까 2개, 3개, 10개로 막는 데만 급급해서이기도 하다”고 지적했다. 카스퍼스키는 고객에게 “왼쪽으로 가라”고 조언한다. 더 앞으로 가서 예방하라는 뜻이다. 히아 사장은 “SK텔레콤처럼 심각한 사고가 터지기 앞서 다크웹을 살펴보면 징조를 미리 알아챌 수 있다”며 “해커를 겨냥한 스파이 역할을 하면 된다”고 조언했다. 그러면서 “카스퍼스키는 사이버 범죄 조직 동향을 알아둔다”며 “라자루스가 요새 무엇을 하는지 끊임없이 추적한다”고 설명했다. 또 “요즘 라자루스는 공격 형태를 바꿨다”며 “고객 환경을 바로 뚫고 들어가려 시도하기보다 공급망에 덫을 놓고 침투한다”고 전했다. 이어 “해커는 새롭게 공격하기 전에 모여서 채팅하고 제안을 주고받는다”며 “이런 침해 징조를 다크웹에서 찾으려고 한다”고 덧붙였다. 이효은 카스퍼스키 한국지사장은 “카스퍼스키에 다크웹을 집중해 살펴보는 '디지털 발자국 전문가'라는 직무가 있다”며 “해킹 징조를 알아보기도 하지만, 해커가 이후 '무엇을 털었다'거나 '현상금 얼마 걸었다'고 자랑하는지도 알 수 있다”고 강조했다. 카스퍼스키는 믿음직한 사이버 보안 기업이 되고자 '글로벌 투명성 이니셔티브(Global Transparency Initiative)'를 추진한다. 서울과 일본 도쿄, 이탈리아 로마, 스위스 취리히, 말레이시아 쿠알라룸푸르 등 세계 13개 도시에서 투명성센터를 운영한다. 고객과 협력사가 카스퍼스키 제품의 소스 코드, 위협 탐지 기술, 업데이트 시스템 등을 직접 검토할 수 있다. 이 지사장은 “러시아에 본사를 뒀다는 지정학적 문제 때문에 미국 같은 외국으로부터 억울하게 왜곡되는 경우가 종종 있다”며 “오해와 편견을 미리 불식시키려고 투명성센터 13곳을 운영한다”고 밝혔다. 그는 “관심있는 누구나 카스퍼스키 소프트웨어 소스 코드를 볼 수 있다”며 “이렇게 자신있고 당당하게 개방한 보안 회사는 세계에 카스퍼스키밖에 없다”고 강조했다. 히아 사장도 “뒷문(Backdoor)이 전혀 없다는 사실을 보여주려고 투명성센터를 세웠다”고 첨언했다. 백도어는 정상적인 보호·인증 절차를 우회해 정보통신망에 접근할 수 있도록 설치되는 프로그램이나 기술적 장치를 의미한다. 카스퍼스키는 러시아 업체라는 점을 오히려 강점으로 내세우기도 했다. 히아 사장은 “카스퍼스키는 세계 모든 지역에서 활동하는 유일한 정보보호 기업”이라며 “러시아와 중국과 북한까지 포함하는 회사는 카스퍼스키밖에 없다”고 소개했다. 그물을 넓게 칠 수 있어 경쟁사보다 탐지 역량이 뛰어나다는 입장이다. 카스퍼스키는 국제형사경찰기구(ICPO·인터폴) 및 각국 법 집행 기관과도 손잡았다. 히아 사장은 “카스퍼스키는 현지 위협에 대응하고 예상하고자 그 지역 인력에 투자한다”며 “삼성과 SK 등도 고객이라 북한 위협을 막고 중요한 자산을 관리하기 위해 한국 정부와도 협력한다”고 언급했다. 히아 사장은 “고객으로부터 '카스퍼스키는 AI를 어떻게 활용하느냐'는 질문을 받곤 한다”며 “14년 전부터 머신러닝 기술로 매일 47만개 넘는 바이러스를 발견·분석·차단한다, 이는 사람이 감당하기 힘든 숫자”라고 부연했다. 카스퍼스키는 1997년 설립 이래 6개 대륙 200개국에 30개 지사를 뒀다. 22만개사 4억명 고객의 10억개 기기를 지켰다. 이 가운데 아시아 33개국에 협력·총판사가 3천개 이상. 한국 협력사는 200개사 넘는다. 카스퍼스키는 엔드포인트 보호를 비롯해 클라우드 보안, 운영기술(OT) 보안, 위협 인텔리전스(Threat Intelligence) 등을 제공한다. 사이버 위협 인텔리전스(CTI), 인공지능(AI), 글로벌 리서치·분석팀(GReAT), 위협 분석, 운영기술(OT) 보안 센터도 운영한다. 지난해 카스퍼스키는 1년 전보다 11% 늘어난 8억2천200만 달러(약 1조1천823억) 매출을 달성했다. 역대 최고 실적이다. 이날 기자간담회는 카스퍼스키 연례 보안 설명회 '사이버 인사이트'를 앞두고 진행됐다. 카스퍼스키는 15일 서울 여의도 콘래드호텔에서 열리는 이 행사에 100개 고객사, 온라인에서도 1천500개사가 참여한다고 내다봤다.

2025.05.14 17:48유혜진

해킹 뭇매 맞은 SK, 전 계열사 보안 강화…정보보호특위 신설

최근 SK텔레콤 해킹 사고 여파 속 SK그룹이 외부 전문가까지 참여하는 정보보호혁신특별위원회를 출범시키며 그룹 전반 보안 수준을 끌어올리기 위한 전방위 대응에 나섰다. 이번 정보보호혁신특별위원회 위상을 강화하기 위해 그룹 최고 의사협의기구인 수펙스추구협의회 산하 9번째 위원회로 설치하는 한편 위원회 활동의 독립성과 전문성을 높이기 위해 학계와 산업계 인사 등 외부 전문가를 참여시키기로 했다. SK그룹은 14일 그룹 내 계열사의 보안 리스크를 사전에 감지∙차단하고, 보안 역량을 강화하기 위한 독립형 전문 기구인 '정보보호혁신특별위원회'를 출범해 본격 활동에 나선다고 밝혔다. 정보보호혁신특별위원회 위원장은 최창원 수펙스추구협의회 의장이 직접 맡고, SK주식회사 AX 윤풍영 사장이 실무를 책임지는 부위원장을 맡는다. 위원회에는 거버넌스 위원장, SK주식회사, SK이노베이션, SK하이닉스, SK텔레콤 등 전략위원회 멤버사와 SK네트웍스, SK브로드밴드, SK스퀘어 등 B2C 멤버사가 참여키로 했다. SK그룹은 또 위원회의 보안 전문성과 운영 객관성을 확보하기 위해 학계, 산업계 등 외부 보안 전문가를 공식 멤버로 위촉했다. 디지털정부혁신위원회 위원장을 지낸 권헌영 고려대 교수가 외부자문위원장을 맡는다. 개인정보보호분야 권위자인 최경진 가천대 교수, 시스템 보안 전문가 이병영 서울대 교수, 카이스트 사이버보안연구센터장을 역임한 김용대 카이스트 ICT 석좌교수 등 학계 전문가들이 포진했다. 또한 국제 해킹대회 입상 경력의 박세준 티오리 대표, 검·경 사이버보안 자문위원으로 활동 중인 박찬암 스틸리언 대표 등 산업 현장의 최고 전문가들도 자문단으로 참여한다. 위원회는 실행력을 높이기 위해 수펙스추구협의회와 SK주식회사 등의 사이버보안담당 임원 중심으로 정보보호혁신팀을 운영하는 한편 주요 멤버사들의 정보보호최고책임자(CISO)와 법무·컴플라이언스 담당 조직과도 연계해 세부 과제들을 실행해 나가기로 했다. 위원회는 단순한 선언을 넘어, 실행 가능한 과제를 기반으로 그룹 보안 수준을 글로벌 톱 티어로 끌어올릴 계획이다. 우선 실행에 돌입하는 과제는 '모의 침투 테스트(모의 해킹)'이다. 그룹 전 계열사를 대상으로 실제 해킹 기술을 활용해 시스템 취약점을 점검하고 보완하는 방식으로 진행되며, 국내외 해킹대회에서 입상한 전문 보안기업이 테스트를 수행한다. 또 SK텔레콤 정보보호 체계를 글로벌 기준에 맞춰 재정비하고 외부 검증까지 완료한다. 아울러 전 관계사를 대상으로 고객정보 보호 강화를 위한 조치를 수립하고, 거버넌스, 식별, 보호, 탐지, 대응 등 보안 체계를 구성하는 5개 핵심 영역에 대한 종합 컨설팅도 함께 실시된다. 각 관계사의 현재 보안 수준을 정밀 분석하고, 모의 해킹 테스트 결과를 반영해 지능형 학습 기반의 보안 설루션을 확대 도입하는 등 맞춤형 개선 과제를 도출해 곧장 실행에 나선다. 이 외에도 지능형 지속 위협(APT) 대응, 산업 보안, AI 보안 등 최신 보안 기술 투자에도 적극 나설 계획이다. SK그룹 관계자는 “정보보호혁신특별위원회 발족으로 SK그룹 전 관계사 보안 수준을 끌어올리고, 이해관계자들에게 신뢰를 줄 수 있도록 체계적인 정보보호 활동을 강화할 것”이라며 “매월 정례회의와 기술 실무회의를 운영하며 실행력을 극대화할 것”이라고 말했다.

2025.05.14 10:03류은주

최태원, SKT 해킹에 "뼈저리게 반성...위약금은 이사회 논의 중"

최태원 SK그룹 회장이 8일 “고객에 불편을 드린 점에 대해 그룹을 대표해 사과드린다”며 고개를 숙였다. 최 회장은 이날 오전 SK텔레콤 을지로 사옥에서 열린 사이버 침해사고 데일리 브리핑에 직접 참석해 이같이 밝혔다. SK텔레콤은 정부의 행정지도에 따라 지난 2일부터 매일 침해사고 대응 조치에 대해 브리핑을 열어 현황을 공유하고 소통을 강화하고 있다. 최 회장은 이날 직접 브리핑을 찾아 “바쁜 일정 속에서 매장 찾고 오래 기다렸거나 출국 일정을 앞두고 마음 졸인 고객들의 불편이 컸다”며 “지금도 많은 분들이 피해가 없을지 걱정하고 계신다고 생각한다. 모든 분들께 사과드린다”고 말했다. 이어, “특히 사고가 발생한 이후 일련의 소통이 미흡한 점을 안타깝게 생각한다”면서 “고객 입장에서 세심하게 살피지 못해 저를 비롯한 경영진이 뼈저리게 반성하고 있고, 외부의 질책을 마땅히 그리고 겸허히 받아들인다”고 덧붙였다 최 회장은 또 “우선 정부의 조사에 적극 협력해 사고 원인이 무엇인지 규명하는 데 주력하겠다”며 “고객의 피해가 더 이상 발생하지 않도록 만전을 기하겠다”고 밝혔다. 이어, “저희를 믿고 유심보호서비스에 가입하신 분들께 진심으로 감사드린다”며 “유심 교체를 원하는 분들께도 더 빠르게 지원하겠다”고 했다. 그러면서 “별도로 SK 전 그룹사 대상으로 보안 체계를 검토하고 투자를 확대하겠다”며 “외부 전문가가 참여하는 정보보호혁신위원회를 구성해 중립적인 시각에서 개선 방안을 마련하겠다”고 강조했다. 정보보호혁신위원회 조직은 수펙스 위원에 내에 설치될 전망이다. 정치권을 중심으로 이동통신 가입자에 대한 위약금 면제 요구에 대해서는 “이용자의 형평성과 법적으로 검토해야 할 부분이 있는 것으로 안다”며 “저는 SK텔레콤 이사회에 참여하지 않는데, 이사회에서 논의하고 있다”고 설명했다.

2025.05.07 10:27박수형

국회 입법조사처 "SKT 위약금 면제하려면 법 개정해야”

국회 입법조사처가 SK텔레콤 사이버 침해사고를 두고 위약금 면제와 같은 기업의 피해자 보호 조치를 위해 정보통신망법과 전기통신사업법의 개정이 필요하다는 의견을 냈다. 입법조사처는 7일 '통신사 해킹 사고 사후대응의 문제점과 입법과제'라는 보고서를 내고 기업의 피해자 보호 조치와 개인정보 유출 사실 통지 의무, 정부의 조사 권한과 경보 조치 등에 필요한 법 개정 필요 이유를 제시했다. 먼저 해킹으로 통신사 이동을 원할 때 위약금 면제 조치를 위해 입법조사처는 “정보통신망법에 침해사고 대응 부분을 추가하거나 전기통신사업법에서 이용자 보호나 사업자 의무에 추가하는 방안을 검토할 수 있다”고 밝혔다. 또 정보 유출에 따른 피해 보상을 두고 “현행 개인정보보호법에서 개인정보 유출이 피해 발생 원인을 제공한 것으로 볼만한 상당한 개연성이 있으면 인과관계를 추정하는 규정을 두는 방안을 검토할 필요가 있다”고 설명했다. 최근 개인정보보호위원회가 SK텔레콤이 정보 유출 피해자에 개별 통지하도록 한 점에 대해서도 법 개정이 필요하다는 분석이 나와 주목된다. 입법조사처는 “신속한 대응이 필요할 경우 유출 대상자가 명확히 특정되지 않더라도 기업이 모든 가입자 또는 유출 의심자 전체에 위험 상황과 대응 방법을 개별 통지하도록 개인정보보호법들 개정해야 한다”고 강조했다. 이어, “신속한 통지는 피해 위험성을 줄일 수 있으므로 해킹 사고 발생 후 빠른 시일 내에 유출 피해자를 특정하지 못한다면 이는 유출 범위와 내용을 정확히 알지 못하는 것”이라며 “최악의 시나리오를 가정해 적극적으로 선제적 조치를 취할 수 있도록 법을 개정해야 한다”고 덧붙였다. 입법조사처는 또 정부의 해킹 사고 조사 권한을 두고 정보통신망법에 따른 민관합동조사관의 자료 제출 요구와 조사의 강제력이 부족하다고 짚었다. 이에 따라 조사 강제력을 강화하는 내용의 망법 개정 필요성을 제시했다. 이밖에 해킹 사고도 재난경보체계를 활용할 수 있도록 망법과 방송통신발전 기본법 개정이 필요하다고 봤다.

2025.05.07 08:00박수형

SKT, 최고 단계 비상경영체제 가동..."창사 이래 최대 위기"

SK텔레콤이 사이버 침해사고 대응 가운데 창사 이래 최대 위기라며 비상경영체제를 선언했다. 3일 SK텔레콤에 따르면 유영상 대표는 전날 사내 게시판에 '비상경영체제를 최고 단계로 올리겠다'는 글을 올렸다. 유 대표는 “지금 우리 회사는 창사 이래 최대의 위기에 직면해 있다”며 “사이버 침해사고로 인해 고객의 일상과 감정이 심각하게 훼손됐고, 그로 인해 우리가 그동안 쌓아온 고객의 신뢰가 한꺼번에 무너질 수 있는 절박한 상황”이라고 말했다. 이어, “이러한 상황에 대해 CEO인 자신을 포함해 모든 임원진들이 책임을 통감하고 있다”면서 “우리 모두가 지금 현장에서 행동으로 답해야 한다”고 주문했다. 그는 또 “백 마디 말보다 이러한 행동이 위기를 이겨낼 수 있는 힘”이라며 “위기를 극복할 수 있는 유일한 방법은 고객 속으로 들어가 다시 신뢰를 쌓는 것으로 이번 사고 수습에 그치는 게 아닌 모든 경영활동을 '고객과 현장'을 최우선에 두고 다시 시작해야 한다”고 강조했다.

2025.05.03 11:39박수형

국정원, 중앙정부·17개 광역시도에 SKT 유심 교체 공문

SK텔레콤(SKT) 유심(USIM·가입자식별모듈) 정보 유출에 대해 국가정보원과 국방부도 나섰다. 30일 정부 관계자에 따르면 국정원은 지난 28일 19개 정부부처와 17개 광역자치단체·교육청에 'SK텔레콤 망을 쓰는 업무용 단말기 유심을 바꾸거나 유심 보호 서비스에 가입하라'는 공문을 보냈다. 유심 정보 유출시 복제 핸드폰을 만들어 정보를 빼가는 '심 스와핑'이 가능하다는 점을 우려한 선제 조치로 해석됐다. 기업 보안 문제는 과학기술정보통신부, 정부 보안은 국정원이 주로 맡는다. 정부 피해 여부는 확인되지 않았으나 만일을 대비한 것으로 보인다. SK텔레콤과 과기부 등으로 꾸려진 민관합동조사단이 이번 해킹 사태를 조사하고 있다. 국방부는 30일 전군에 전파한 'SKT 유심 정보 해킹사고 관련 대응 지침'으로 육·해·공군 및 해병대와 각 기관에 장병 유심 보호 서비스 가입 및 유심 교체를 위한 여건을 마련하라고 지시했다. 업무용 휴대전화는 우선 SK텔레콤이 제공하는 유심 보호 서비스에 가입하고, 이후 단계적으로 유심을 교체할 수 있게 하라고 했다. 유심을 바꾸기 위위해 장병이 외출하는 것도 보장하는 것으로 알려졌다. SK텔레콤이 유심을 바꿔주기로 하자 전국 매장에 새벽부터 가입자들이 줄을 섰고, 온라인 예약망마저 접속하기 힘들다. SK텔레콤 가입자는 2천300만명, SK텔레콤 망을 이용하는 알뜰폰 가입자 187만명을 더하면 2천500만명이 기다리는 현실이다. 민간 기업은 이미 직원에게 SK텔레콤 유심을 바꾸라고 했다. 삼성전자에 이어 현대자동차, HD현대, 한화, 네이버, 카카오 등이 공지한 것으로 전해졌다. 한편 유영상 SK텔레콤 대표는 30일 국회 과학기술정보방송통신위원회가 연 'YTN 등 방송통신 분야 청문회'에 증인으로 출석, 한국인터넷진흥원(KISA)에 늑장 신고했다는 지적에 "신고 절차에 문제가 있었다"고 말했다. 해킹 공격을 받은 것으로 확인된 홈가입자서버(HSS) 3대 말고도 추가 유출이 있었는지에 대해서는 "민관합동조사단 결과가 나오기를 기다리고 있다"면서 "다음 달까지 공급할 유심 재고를 600만개 확보했으며, 6월 말까지 500만개를 더 확보하겠다"고 밝혔다.

2025.04.30 15:16유혜진

금융당국, SKT 유심 유출 금융사고 점검회의…"특이 징후 포착못해"

금융위원회가 금융감독원, 금융 유관기관 및 금융협회와 SK텔레콤 유심(USIM) 정보 유출 사고와 관련해 금융사고 점검 회의를 개최했다고 30일 밝혔다. 이날 회의에서 각 금융협회에서는 "현재 부정 인증 증가와 같은 징후는 포착되고 있지 않다"고 설명했다. 금융권에서는 "기기정보 변경 고객에 대한 추가 인증이나 이상거래탐지시스템(FDS) 등을 통한 모니터링 강화 등과 같은 추가 조치를 실시하고 있다"며 "유관기관과 협조를 통해 철저한 사고 예방체계를 구축·운영하겠다"고 말했다. 금감원은 "유관기관·금융협회 등과 긴밀한 공조를 통해 금융권 대응현황 및 이슈를 신속히 파악하는 한편, 부정·사기거래 등의 금융사고에 대비해 사고 보고 체계를 강화하고 일일 모니터링을 실시하고 있다"고 짚었다. 금감원에서는 금융사고 전담 신고센터를 운영 중이다. 회의를 주재한 권대영 금융위 사무처장은 "비상대응본부를 구성·운영하여, 일 단위로 금융권 대응 현황 및 특이 사항을 보고해달라"며 "금융결제원, 신용정보원 등 금융 인프라 기관은 해킹 등에 대비하여 상시 보안점검을 강화해달라"고 당부했다.

2025.04.30 11:43손희연

'SKT 해킹' BPF도어 뭐기에…"해커들 뒷문"

과학기술정보통신부가 1주일 동안 SK텔레콤(SKT) 침해 사고를 조사한 결과를 29일 발표했다. 조사에 따르면, 이번 침해 사고에서 단말기 고유식별번호(IMEI)는 유출되지 않은 것으로 확인했다. 민관합동조사단은 SK텔레콤이 공격 받은 정황이 있는 3가지 서버 5대를 조사했다. 다른 중요 정보가 포함된 서버도 살피고 있다. 조사단은 지금까지 SK텔레콤에서 유출된 정보는 가입자 전화번호, 가입자식별키(IMSI) 등 유심(USIM)을 복제하는 데 쓰일 수 있는 4가지와 유심 정보 처리 등에 필요한 SK텔레콤 관리용 정보 21종이라고 전했다. 특히 조사단은 침투에 사용된 BPF 도어(Berkeley Packet Filter Door) 계열 악성 코드 4가지를 발견했다고 밝혔다. BPF 도어는 리눅스 운영체제(OS)에 내장된 네트워크 모니터링·필터 기능을 수행하는 BPF를 악용한 백도어(Backdoor)다. 은닉성이 높아 해커 통신 내역을 알아채기 어려운 특징이 있다. 이희조 고려대 컴퓨터학과 교수는 이날 지디넷코리아와의 통화에서 “해커가 BPF 도어를 설치했다는 사실보다 어떤 경로로 들어와 설치했는지, 이후 무슨 정보를 빼냈는지, 다음에 행할 더 큰 공격을 위한 단계로 쓴 것인지 조사단이 여부를 알아야 한다”고 말했다. 이 교수는 “SK텔레콤 말고도 KT나 LG유플러스 등이 비슷한 공격을 받았는지 확인해야 또 다른 피해를 막을 수 있다”고 덧붙였다. “BPF, 해커가 드나들려고 숨기는 뒷문” 정보보호 전문가들은 BPF를 리눅스 기반 운영체제에서 통신 정보를 감시하는 문이라고 비유했다. BPF 도어는 해커가 관리자 몰래 BPF에 만든 뒷문이다. 이 뒷문으로 드나들며 정보를 빼낼 수 있다는 얘기다. 박기웅 세종대 정보보호학과 교수는 “BPF는 시스템 내부 상황을 자세히 보려고 만들어진다”며 “시스템 주인이 아니라 공격자가 제어하면 악용된다”고 말했다. 그러면서 “집주인이 홈모니터링 시스템에 접속해 편리하게 집을 관리할 수 있지만, 도둑이 접속하면 범죄에 쓰이는 이치”라고 예를 들었다. 순천향대 정보보호학과 명예교수인 염흥열 한국개인정보보호책임자(CPO)협의회장은 “BPF 도어는 탐지하기 어려운 뒷문이라고 볼 수 있다”며 “해커가 일단 보안 취약점을 악용해 정보 시스템에 성공적으로 침투하고 나서 설치하는 악성 코드로, 해커가 다시 들어오려고 숨겨놓는 뒷문”이라고 표현했다. 익명을 요청한 보안 관련 교수도 “BPF 도어란 쉽게 얘기해 관리자 몰래 서버를 드나들 수 있는 비밀 통로”라며 “해커가 일단 서버에 침입하고 나서 다음에 다시 편하게 들어오려고 만드는 뒷문”이라고 빗댔다. 그러면서도 “'나 말고 다른 해커까지 들락거리면 곤란하다'고 생각한다”며 “나만 편하게 오가려고 '최고의 비밀번호(magic password)를 걸어둔 뒷문을 설치한다”고 전했다. 그는 “'열려라 참깨'라는 비밀번호 문자를 네트워크에 보내면 문이 열리게 해둔다”며 “이때 BPF 도어가 네트워크 통신에 '열려라 참깨'라고 입력됐는지 알아채 문이 열리도록 한다”고 설명했다. 국내에서 BPF 도어와 그 변종으로 인한 피해가 얼마나 생겼는지 통계는 없다. 다만 BPF 도어용 악성 코드가 누구나 보고 수정·배포할 수 있는 오픈 소스로 풀린 지 몇 년 흘렀기에 국내외에서 종종 쓰이는 것으로 전문가들은 보고 있다. 염흥열 협의회장은 “중국계로 추정되는 해커 조직이 정부·통신사·금융사 등 주요 기반 시설을 공격하려고 BPF 도어를 쓰는 것으로 알려졌다”고 언급했다. BPF 도어 수법은 2021년 영국 회계·경영 컨설팅 업체 프라이스워터하우스쿠퍼스(PwC) 위협 보고서에 처음 등장했다. 중국 해커 조직 '레드멘션'이 중동·아시아 통신·물류·교육 업체를 BPF 도어로 공격한 것으로 전해졌다. 미국 보안 기업 트렌드마이크로에 따르면 최근 한국·홍콩·미얀마·말레이시아·이집트의 통신·금융·소매 기업이 BPF 도어 공격을 당했다. “가치있는 회사일수록 보안 투자해야” 박기웅 교수는 “BPF 도어 기법을 포함해 모든 공격에는 공통점이 하나 있다”며 “보안 통제가 깨진 것”이라고 지적했다. “BPF 공격 또한 공격자가 일단 관리자 권한을 얻어서 벌어진 일”이라며 “시스템 권한을 관리하고 내부 소프트웨어 취약점을 분석해 적극적으로 모의 해킹하고 점검해야 한다”고 주장했다. 다만 “완벽한 해결책은 아니다”라며 “공격자가 항상 우위에 있고, 지키는 사람은 100만개를 잘 지켜도 1개만 뚫리면 공격당하는 곳이 이곳의 생태”라고 고개를 저었다. 염흥열 협의회장은 “먼저 원인을 조사해 그 결과에 따라 미흡한 점을 보완해야 한다”며 “특별히 보안 제품이나 서비스, 전담 인력을 늘릴 필요가 있다”고 조언했다. 이어 비정상적인 공격을 검출하는 네트워크 기반 탐지, 비정상적인 트래픽을 막는 방화벽 규칙 강화 등을 권했다. 'SK텔레콤이 당할 수밖에 없었는지, 평소 투자나 방어가 부족해서 이렇게 됐는지' 묻는 물음에 박기웅 교수는 “북한·중국과 가까워 한국 통신사는 지정학적으로 공격 대상이 되기 쉬운 데 비해 많이 투자하기는 어려운 처지”라며 “미국 마이크로소프트(MS)처럼 수백조원 매출을 올리는 기업이 1천억원을 보안에 투자하는 것과 1천억원 매출을 올리는 기업이 1천억원을 보안에 투자하는 것은 비교하기 힘들다”고 답했다. SK텔레콤은 지난해 매출 17조9천406억원, 영업이익 1조8천234억원을 기록했다. 2000년 1분기부터 지난해 4분기까지 100개 분기 연속, 25년째 흑자다. 보안 관련 한 교수는 “BPF 도어를 막으려면 꾸준히 서버에 보안 패치를 설치하고 무결성을 검증하고 비정상적인 접근이 있는지 살펴보는 수밖에 없다”며 “보안에 충분히 투자하고서도 단 한 번의 공격을 알아채지 못해 해킹 당하는 한편 별로 투자하지 않았지만 전혀 해킹 당하지 않는 회사도 있다”고 말했다. 이 교수는 “결국 회사에 훔칠 만한 정보가 있다면 해커가 위험과 어려움을 무릅쓰고 해킹한다”며 “이 정도 공격을 100% 완벽하게 막을 수 없어서 SK텔레콤이 아닌 다른 기업이더라도 방어하기 쉽지 않았을 것”이라고 추정했다. SK텔레콤은 그만큼 가치 있는 정보를 많이 가진 회사다. 시장 점유율 40%에 이르는 국내 1위 통신사다. 유심 정보를 탈취당한 가능성이 있는 이용자는 SK텔레콤 가입자 2천300만명과 SK텔레콤 망을 이용하는 알뜰폰 가입자 187만명을 더해 총 2천500만명에 달한다. 보안 업계 관계자는 “미국 행정부는 '리눅스용 백신과 엔드포인트 탐지·대응(EDR·Endpoint Detection & Response) 시스템을 설치하라'고 권고한다”며 “통신사 시설이 워낙 크고 많으니 모든 시스템을 최신으로 유지하기 어렵겠지만 보안에 계속 투자하고 최신 위협에 대처하는 능력을 갖춰야 한다”고 강조했다. 조사 중…"보안 정책 개선해야" 보안 전문가들은 이번 사태에 대해 조사로 끝나서는 곤란하다고 입을 모았다. 보안 정책을 개선하는 계기로 삼아야 한다는 거시다. 한국 보안 규제는 강하지만, 일이 터져야 급급하다고 평가된다. 과학기술정보통신부에 '침해대응과'는 있어도, '침해예방과'는 없는 현실이 이를 나타낸다. 김승주 고려대 정보보호대학원 교수는 “이 악성 코드는 변종이 많다는 게 특징”이라며 “소스 코드가 공개됐더라도 변형이 많이 만들어진데다 스텔스 기능까지 겸해 탐지하기 어려울 수 있다”고 말했다. 한국과학기술원(KAIST) 과학치안연구센터장인 김용대 카이스트 전기및전자공학부 교수는 일률적인 규제로는 제대로 보안할 수 없다는 입장이다. 김용대 교수는 “인프라가 다른 상황에서 획일적인 체크리스트는 결국 기업이 최소한 조건만 만족하려고 하게 만든다”며 “자신의 인프라를 모른 채 어떻게 해커와 싸울 수 있겠느냐”고 되물었다. 그는 “2021년 'Log4j 사태'처럼 아직 패치되지 않은 취약점이 공개된 적이 있다”며 “해커는 한국 서버가 이런 취약점이 있는지 원격에서 확인해 해킹했지만, 국가는 '누구든지 원하지 않는 트래픽을 보낼 수 없다'는 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 때문에 어떤 서버가 취약한지 알 수 없었다”고 비판했다. 그러면서 “해커는 원격으로 마음껏 취약점을 찾고 해킹해 들어온다”며 “우리 스스로 못 봐서 안전하게 만들 수 있는 기회가 없는 마당에, 적은 우리를 분석해 들어오면 결국 적에게 공격을 할 동기를 주는 셈”이라고 꼬집었다. 이어 “미국 사이버인프라보안국(CISA)이나 영국 국립사이버보안센터(NCSC)는 한국과 반대로 민간 시스템 보안을 먼저 지원하고, 취약점 보고자를 법적으로 보호하고, 정부 차원의 기술적 개입과 점검을 가능하게 만드는 법·제도를 병행한다”며 “국가는 통제자가 아니라, 모두가 보안을 하고 싶게 만드는 설계자가 돼야 한다”고 덧붙였다. 한편 KT와 LG유플러스도 안전하지만은 않다는 설도 나온다. 지난해 7월과 12월 한국 통신사가 BPF 도어 공격을 이미 당했다는 지적도 있다. 어느 통신사가 얼마나 큰 피해를 입었는지는 밝혀지지 않았다. 미국 정보보호 기업 트렌드마이크로는 이런 내용의 보고서 '아시아·중동을 표적으로 삼은 BPF 도어의 숨겨진 컨트롤러'를 지난 14일 발표했다.

2025.04.29 16:52유혜진

"유심 교체에 SKT 2000억원 부담…주가 회복, 가입자 진정에 달려"

SK텔레콤이 최근 발생한 유심(USIM) 해킹 사고 대응으로 최대 2천억 원 규모의 재무 부담을 질 것으로 예상됐다. 다만 일회성 비용에 그친다면 주가는 시간이 지나며 점차 회복할 가능성이 높다는 전망이 나왔다. 29일 신한투자증권은 보고서를 통해 SK텔레콤의 유심 교체 비용을 약 1천억~2천억 원 수준으로 추산했다. 김아람 신한투자증권 연구원은 "유심 한 개당 원가 약 4천 원에 가입자 수 2천500만 명을 고려하고, 여기에 수백억 원대 과징금 가능성까지 반영한 수치"라고 설명했다. SK텔레콤은 지난 19일 외부 해킹으로 인해 이용자 유심 정보가 유출된 사실을 공개했다. 이후 불법 복제폰 개설 및 금융 사고 가능성에 대한 우려가 커지면서, 일부 이용자들 사이에서는 집단 소송 준비와 국회 청원 움직임까지 나타나고 있다. 김 연구원은 "현재 SK텔레콤의 2025년 예상 배당수익률은 6.6% 수준까지 상승했지만, 과거 배당수익률 하단이 7.0~7.5%였다는 점을 고려할 때 사태의 경과를 좀 더 지켜볼 필요가 있다"며 "대규모 가입자 이탈 우려가 완화돼야 투자심리가 본격적으로 회복될 것"이라고 분석했다. 또한 그는 "통신주 주가는 결국 실적, 규제, 주주환원 정책에 의해 결정될 것"이라며 "이번 유심 교체에 따른 재무 부담이 예상 수준에 머문다면 SK텔레콤의 주주환원 정책은 큰 변화 없이 유지될 가능성이 높다"고 전망했다. 한편, 전날 SK텔레콤 주가는 전 거래일 대비 6.75% 급락한 5만3천900원에 거래를 마감했다. 김 연구원은 "주말 동안 언론과 SNS를 통해 금융 사고 가능성이 부각되면서 가입자 이탈 조짐이 본격화했고, 이에 따른 투자심리 악화가 주가 급락으로 이어졌다"고 분석했다.

2025.04.29 11:26최이담

Prev 1 2 Next