SK텔레콤 해킹으로 인해 고객 유심 정보가 유출된 것으로 확인되면서, 정보 보호에 대한 우려가 커지고 있습니다. SK텔레콤은 유심 무상 교체에 나섰고, '유심보호서비스' 가입 만으로도 피해를 막을 수 있다고 설명하지만, 전문가들은 추가 보안 조치가 필요하다고 조언하고 있습니다.

국회 과방위원장인 더불어민주당 최민희 의원에 따르면 최근 일어난 SK텔레콤 해킹 공격을 통해 외부에 유출된 정보가 최대 9.7기가바이트 분량으로 파악됐습니다. 이는 문서 파일로 환산할 경우 300쪽 분량의 책 9천권에 달하는 방대한 양입니다. 문제는 어떤 정보가 얼마나 유출됐는지 아직 정확히 알려진 바 없다는 점입니다.

이에 삼성전자와 네이버, 카카오 등 기업들 뿐만 아니라 국가정보원도 정부 전 부처를 비롯해 공공·산하기관을 대상으로 SK텔레콤 유심 교체를 권고하는 등 사태는 일파만파 커지고 있습니다.



◇ 집 도어록 번호 털린 셈?…정부 "단말기 고유식별번호 유출 안돼"

최근 유튜버 테크몽은 이번 SK텔레콤 해킹 사건을 두고 "과거 KT·LG유플러스 해킹이 집 주소가 털린 것이라면, 이번은 집 도어락 비밀번호가 털린 것과 같은 수준"이라고 주장했습니다. 그때와 달리 '본인 인증' 관련 정보들이 털렸다는 겁니다.

이에 대해 SK텔레콤은 "과도한 주장"이라는 입장입니다. 도어락 번호가 털린 것과 같으려면 이름, 주소, 주민번호 등 복수의 개인정보가 함께 빠져나가야 하지만, 이번 사건에서는 제한된 정보만 유출됐다는 겁니다.

실제 과학기술정보통신부는 오늘(29일) 민관합동조사단의 1차 조사결과를 발표했는데요. 이번 침해사고를 통해 단말기 고유식별번호(IMEI) 유출은 없는 것으로 확인했다고 밝혔습니다. 따라서 현재 SK텔레콤이 시행 중인 '유심보호서비스'에 가입하는 경우, 이번에 유출된 정보로 유심을 복제해 다른 휴대전화에 꽂아 불법적 행위를 하는 행위, 이른바 '심스와핑'이 방지된다는 설명입니다.

조사단이 지금까지 SK텔레콤에서 유출된 정보를 확인한 결과, 가입자 전화번호, 가입자식별키 등 유심 복제에 활용될 수 있는 4종과 유심 정보처리 등에 필요한 SK텔레콤 관리용 정보 21종이었습니다.

보안 전문가들도 대체로 이번 사건을 '도어락 번호 전체 유출'로 비유하기에는 무리가 있다는 입장입니다. 다만 유심 고유번호가 노출된 만큼 추가적인 개인정보 유출이나 2차 공격 시도가 있을 가능성은 경계해야 한다고 강조했습니다.

염흥열 순천향대 정보보호학과 교수는 "SK텔레콤이 최악의 경우를 산정해서 2차 대책을 세워야 된다"며 "더불어서 피해자 구제 조치까지 고려해야 된다"고 밝혔습니다.



◇ 유심보호서비스, 정말로 안전한가…SKT 위기 대응도 도마에

SK텔레콤은 유심보호서비스에 가입하면 유심 교체와 동일한 효과를 낼 수 있다고 안내하고 있습니다. 회사 측은 "유심보호서비스 가입 이후 피해가 발생하면 100% 보상하겠다"고 밝혔습니다.

그러나 보안 전문가들은 유심보호서비스만으로 모든 위협을 차단할 수는 없다고 지적합니다. 유심 자체를 복제하거나 변경하는 시도를 막을 수는 있지만, 이미 유출된 고유번호를 악용해 별도로 개인정보를 수집하려는 해커의 시도까지 막을 수는 없기 때문입니다.

이에 따라 당장 금융사고 가능성은 작더라도, 스미싱, 보이스피싱 등을 통한 추가 피해 가능성은 존재한다는 분석입니다.

한국인터넷진흥원(KISA) 스미싱대응팀은 "'명의도용 방지 등을 위해 휴대전화를 재부팅 해달라'라고 속여 휴대전화 해킹을 시도하는 방식의 스미싱 시도에 대해 감시하고 있다"며 "관련 피싱 메시지가 오면 절대 링크를 클릭하지 말고 신고해달라"고 당부했습니다.

물리적으로 유심을 교체하는 것 역시 현재 유심 물량이 부족해 신속한 교체가 이뤄지지 않고 있는 상황입니다.

이번 사태로 SK텔레콤의 리스크 대응이 적절한지도 도마에 오르고 있습니다.

임종인 고려대 정보보호대학원 명예교수는 "위험 관리 차원에서 SK텔레콤이 실패하고 있다"며 "코로나 백신 맞을 때처럼 관리 위험도에 따라 순서를 정해주고 날짜를 정해줘야 하는데 무작정 유심 무상교체하겠다고 해놓고 나서 '우리 유심 없습니다' 하는 건 일류기업이 아니다"라고 꼬집었습니다.

중고거래 플랫폼엔 유심 대란 속 SK텔레콤 유심을 개당 15만원에 판다는 글도 올라오고 있는 실정입니다.



◇ 유심 정보 털리면 공인인증서도 위험할까

일부 소비자들은 "유심에 저장된 공인인증서 정보까지 털리는 것 아니냐"며 우려를 나타내고 있습니다.

이에 대해 SK텔레콤은 "공인인증서 자체 정보는 유출되지 않았다"고 밝혔습니다.

보안 전문가들도 "복제폰에 유심을 끼운다고 해서 기존 휴대전화와 완전히 동일하게 작동하는 것은 아니다"라며 "해커가 문자메시지를 가로채는 정도는 가능할 수 있으나, 공인인증서나 금융앱 접근은 제한적"이라고 설명했습니다.

염흥열 교수는 "복제폰이 만들어졌다 하더라도 공공인증서의 비밀번호와 계좌정보 등 여러 정보를 알아야 하는 만큼 관련 금융범죄가 발생할 가능성은 작다고 볼 수 있다"고 설명했습니다.

그럼에도 불안하다면 추가 보호 조치를 취하는 것도 고려해볼 필요가 있습니다.

전문가들은 "금융앱 비밀번호 변경, 비대면 계좌개설 차단 서비스 가입 등 추가 조치를 병행해야 한다"고 조언했습니다.

금융권도 현재 보안 체계 만으로도 유출 정보를 악용한 불법 인출·결제 시도를 충분히 차단할 수 있지만, 더 철저히 막기 위해 얼굴 인증 등의 절차를 속속 추가하는 분위기입니다.



◇ "과도한 공포 경계해야" vs "추가 피해 이어질 수도"

가장 큰 문제는 유출된 정보가 실제 얼마나 되는지 불확실하다는 점입니다. 전문가들은 공포가 과도하다는 의견과 사태가 커질 수 있어 대비해야 한다는 의견이 엇갈리고 있는 상황입니다.

김승주 고려대 정보보호대학원 교수는 오늘(29일) 소셜미디어에 올린 칼럼을 통해 "사건 발생 직후 일부 언론과 정치인, SNS를 통해 과도한 공포가 확산되는 모습이 우려스럽다"며 "공포가 아닌 냉정함이 필요하다"고 밝혔습니다.

하지만 이번 SK텔레콤 해킹 사건에서 유출된 정보는 민감정보까지 포함되지는 않았지만, 유심 고유번호 유출 만으로도 향후 추가 피해로 이어질 가능성은 완전히 배제할 수 없다는 의견들도 있습니다.

유심보호서비스에 가입하거나 유심을 교체하는 기본적인 방어책에 더해 금융 관련 비밀번호 변경, 비대면 계좌개설 차단 신청, 보이스피싱·스미싱 경계 등 추가 보안 조치를 함께 취해야 실질적인 피해를 예방할 수 있다는 것이 전문가들의 공통된 의견입니다.

특히 무엇보다 이번 사태를 계기로 통신사들이 보안을 강화해야 한다는 지적이 나옵니다.

윤주범 세종대 정보보호학과 교수는 "공격 999개를 막더라도 한개가 뚫리면 공격에 뚫린 것"이라며 "평상시에 예산이나 인력을 많이 투입해서 잘 보호를 해야할 필요가 있다"고 강조했습니다.

#SKT #해킹 #유심

연합뉴스TV 기사문의 및 제보 : 카톡/라인 jebo23

김동욱(DK1@yna.co.kr)