SKT 해킹 사태의 진실...전문가들 "해킹 정보로는 스마트폰 복제 불가능"

복제폰 만들어도 '계좌탈취' 못해

삼성·애플 등 제조사서도 확인

기업관리 부실보다 사이버공격

[사진=아주경제]

SK텔레콤(SKT) 해킹 사태와 관련해 피해 규모가 과장되고, 현실 가능성이 낮은 피해 우려가 확산하면서 국민 불안이 커지고 있다. 개인정보보호위원회(개보위)는 이번 사태를 “역대급 해킹 사고”로 규정하며 피해 규모를 부각시키는 모습이다.
 
22일 민관합동조사단에 따르면 이번 해킹 사태로 이름, 이메일, 전화번호 등 실질적인 개인정보가 유출된 정황은 확인되지 않았다.
 
지난 19일 민관합동조사단은 2600만 가입자의 IMSI(국제가입자식별번호)가 유출됐다고 밝혔다. 그러나 IMSI는 그 자체로 개인정보로 간주되지 않는다는 것이 업계와 전문가들의 설명이다.
 
IMSI는 통신사가 가입자를 식별하기 위해 사용하는 고유 번호로, 주로 유심(USIM)에 저장된다. IMSI만으로는 이름, 전화번호, 주소 등 구체적인 개인정보를 직접 드러내지 않는다. 이는 IMSI가 개인을 직접 식별하는 데 사용되지 않고, 네트워크에서 가입자 인증과 서비스 제공을 위해 설계됐기 때문이다.

 
SKT가 약 29만명의 이름, 이메일 등을 보관하는 임시 서버에서도 악성코드가 발견됐으나, 현재까지 해당 정보가 유출된 정황은 없다는 게 민관 합동조사단 측의 입장이다.
 
IMEI 유출로 복제폰 생성이 가능하다는 주장에 대해서도 정부와 전문가들은 가능성이 없다고 입을 모은다.
 
류제명 과학기술정보통신부 네트워크정책실장은 “IMEI를 통한 스마트폰 복제는 물리적으로 불가능하며, 이는 삼성, 애플 등 단말기 제조사에서도 확인된 사실”이라고 밝힌 바 있다.
 
이성엽 고려대학교 기술경영전문대학원 교수 역시 “IMEI가 유출되더라도 비정상 인증 차단 시스템(FDS)을 통해 복제폰 피해를 차단할 수 있다”고 진단했다.
 
복제폰 제작에 성공하더라도 인증서를 통한 계좌 탈취는 불가능하다. 통신사 서버에는 고객의 공인인증서, 인증서 비밀번호, 아이디, 비밀번호 등 금융거래에 필요한 정보가 저장되지 않으며, 금융거래용 인증서는 개인 단말기에 보관되기 때문이다.
 
전문가들은 SKT 해킹 사태를 개인 기업의 관리 부실보다는 국가 단위 해킹 집단의 사이버 공격으로 보고 있다. 과기정통부는 발견된 24종의 악성코드 중 23종이 BPF도어 계열이라고 밝혔으며, 이 공격은 APT(지능형 지속 위협) 방식으로 진행됐다. BPF도어 계열은 중국이 지원하는 국가단위 해킹 집단이 주로 사용하는 악성코드로, APT 공격의 경우 민간 차원의 방화벽은 사실상 무력화된다는 것이 업계의 설명이다.
  
SKT에 악성코드를 심은 집단은 금전을 요구하지 않고 정보 탈취 자체를 목적으로 하는 등 일반 해커 집단과 다른 양상을 보였다.

임종인 고려대학교 정보보호대학원 교수는 “BPF도어는 침투 후 로그를 삭제해 탐지하기 어렵다”며 “이는 단순 해킹이 아니라 통신 인프라를 무력화하려는 사이버 공격으로 봐야 한다”고 강조했다.

한편 SKT는 이날 지난 19일부터 하루 30만개 이상의 유심을 교체하고 있다고 밝혔다. 21일 기준 유심 교체 누적량은 323만개, 예약 잔여분은 567만개 수준이다. SKT 측은 월 500만개의 유심을 공급 받아 대기 중인 가입자들의 유심 교체를 서두르겠다고 전했다. 

개보위가 "국민에게 큰 피해를 줬다"고 말한 것과 관련해서도 "필요한 조치가 있다면 적극적으로 이행하겠다"는 입장이다. 
 
김희섭 SKT 홍보센터장은 “피해가 없었다고 한 것은 유심 복제나 복제폰 관련 피해가 없었다는 의미”라며 “고객들에게 불편과 불안을 초래한 점에 대해 SKT의 책임을 통감한다”고 말했다.