SKT, "IMEI 유출 확인 없어…휴대폰 복제 불가능"

29만건 개인정보 유출 아냐…'2차 피해에 대해선 SKT 100% 책임' 강조

약 3년간 로그 기록 없다는 지적엔 "로그데이터 쌓아둘 수 없어서 지웠다"

류정환 SKT 네트워크인프라센터장이 19일 서울 중구 삼화타워에서 열린 SKT 유심 해킹 사고 일일브리핑에서 "단말 복제는 사실상 불가능하다"고 설명하고 있다. [사진=나선혜 기자]

SK텔레콤(SKT)이 19일 민관합동조사단이 발표한 '단말기식별번호(IMEI) 29만건이 유출됐다는 가능성을 배제할 수 없다'는 주장에 대해 "유출이 확인된 바 없으며 사실상 휴대전화 복제가 불가능하다"는 입장을 내놨다. 

이날 서울 중구 삼화타워에서 열린 SKT 유심 해킹 사고 일일브리핑에서 류정환 SKT 네트워크인프라 센터장은 이같이 밝혔다. 류 센터장은 "29만건의 개인정보가 유출된 것은 아니다"라며 "유심복제는 사실상 불가능하다. 고객들이 안심했으면 한다"고 단언했다. 

추가적인 개인정보 유출 여부에 대해서도 류 센터장은 "유출량 등 현재까지 확인된 바 없다"며 "개인정보보호위원회의 판단을 믿어야 한다"고 덧붙였다.  

그러면서 만약 추가 고객 정보 유출이 있은 후 2차 피해에 대해선 SKT가 100% 책임지겠다고 강조했다. 

악성코드가 지난 2022년 심어졌다는 민관합동조사단의 주장에 대해 류 센터장은 "악성코드 침해와 유출을 나눠서 봐야 한다. 침해는 정말 잡기 어렵다"고 말했다. 

SKT에 따르면 악성코드 유출은 특정 패턴을 가지고 있어 해커의 공격 흔적을 파악하기 수월한 반면, 침해 사고의 경우 특정 패턴이 없어 사전에 탐지 및 차단이 어렵다는 의미다. 

류 센터장은 "지능형 지속 공격(APT)은 해커가 실제로 정보를 유출하기까지 오랜 잠복 기간이 필요해 종적을 찾기 힘들다"며 "이것이 BPF 도어(BPFDoor) 보안 사고의 특징"이라고 설명했다.

이어 "약 3년간 은밀히 심어져 있던 악성코드가 SKT 망의 허점을 노리다 지난달 18일 홈가입자서버(HSS) 유출 사건을 계기로 악성코드 침해 여부가 드러난 것으로 추정한다"고 덧붙였다. 

최초 악성코드가 설치된 시점인 지난 2022년 6월 15일부터 지난해 12월 2일까지 로그 기록이 남아있지 않았다는 지적에 대해서는 "정부와 시각차가 있을 수 있다"며 모호한 답변을 내놨다. 

김희섭 SKT PR 센터장은 "5개월 기록이 남아있는 동안 유출되지 않은 것은 확인했다"며 "5개월 전까지 기록은 없어 확인할 수 없다는 것이지 가능성을 이야기한 것은 아니다. IMEI 유출은 확인되지 않았다"고 강조했다. 

로그 기록을 지운 이유에 대해 김 센터장은 "2년 정도 이상 징후가 없었고, 로그 데이터를 쌓아둘 수 없으니 지운 것"이라고 했다. 

한편 SKT는 유심 해킹 사건 후속 조치로 비정상 인증차단 시스템(FDS)을 가장 높은 단계로 격상해 운영하고 있다고 밝혔다. SKT에 따르면 고도화한 FDS는 불법 복제한 유심 인증을 비롯한 다양한 비정상 인증 시도를 통신망에서 실시간으로 감지하고 차단하는 기술이다. 

아울러 SKT는 다시 한번 유심보호서비스로 인한 피해가 없을 것이라고 강조했다. 임봉호 이동통신(MNO) 사업부장은 "설사 IMEI 값이 유출됐다 하더라도 복제폰을 만드는 것은 불가능하다"며 "FDS 시스템 고도화를 통해 유심보호서비스 등 안전하게 조치를 취했다"고 확언했다.