개인정보·IMEI 담긴 SKT 서버서도 악성코드…유출여부 불확실(종합)

유출된 유심정보 약 2700만건
IMEI·이름·전화번호 담긴 서버에 3년 전부터 악성코드
지난해 말부터 4월까진 유출 기록 없지만
이전 로그기록 없어 유출 가능성 배제 못 해

과기부 "IMEI 유출됐더라도 복제폰 생성 어려워"
유출 가능성 있는 서버 데이터, 암호화 안 돼있어

SK텔레콤 유심(USIM) 해킹 사태로 약 2700만건에 달하는 유심 정보가 유출된 것으로 나타났다. 특히 이용자들의 개인정보나 단말기 고유식별번호(IMEI)가 담긴 서버에서도 악성코드가 새로 발견됐는데, 이들 정보가 유출됐을 가능성도 제기되면서 이번 해킹 사태는 새로운 국면을 맞게 될 가능성이 커졌다.

SKT 유심 해킹 사고 민관합동조사단은 19일 오전 정부서울청사에서 SKT 침해사고 관련 2차 조사 결과를 발표하고 고객 인증에 사용되는 서버 일부가 악성코드에 감염돼 있었다고 밝혔다. 해당 서버에는 IMEI·이름·전화번호 같은 개인정보가 임시 저장돼 있었다. 해당 서버에 저장된 파일에는 총 29만여건의 IMEI가 포함된 것으로 확인됐다.

최우혁 과학기술정보통신부 정보보호네트워크정책관이 19일 서울 종로구 정부서울청사에서 SKT 침해사고 관련 민관합동 조사결과 2차 발표 브리핑을 하고 있다. 연합뉴스

조사단에 따르면 이 서버는 3년 전부터 악성코드에 장기간 감염돼 있었다. 조사 결과 현재까지 로그(사용 흔적) 기록이 남아 있는 2024년 12월3일부터 해킹 직후인올해 4월24일까지는 외부 유출 흔적이 발견되지 않았다. 다만 그 이전인 2022년 6월15일부터 지난해 12월2일까지 약 1년 반 동안은 로그기록조차 존재하지 않아 IMEI 유출 가능성을 배제할 수 없는 상황이다.

과학기술정보통신부 고위 관계자는 "통신 로그가 남아 있는 기간에는 유출이 없다고 판단되지만 그 이전에 대해서는 알 수 없는 상황"이라며 "유출 위험 가능성이 새롭게 확인된 셈"이라고 설명했다.

IMEI는 단말기에 부여되는 고유 식별번호로, 각 휴대폰의 주민등록번호 역할을 한다. 복제폰 생성의 핵심 열쇠라 민감도가 높은 정보다. 복제폰을 만들기 위해서는 IMEI 외에도 가입자식별번호(IMSI), 복제 유심이 필요하다. IMSI와 유심정보는 지난달 29일 1차 조사결과 발표 때 유출 사실이 이미 밝혀졌다. 이번 2차 조사결과에서 IMEI 유출 가능성까지 제기되면서 유심을 복제한 다음 다른 휴대전화에 꽂아 불법행위를 할 수 있다는 우려가 나오고 있다.

다만 최악의 경우 IMEI가 유출됐더라도 복제폰 생성은 쉽지 않다는 게 정부의 설명이다. 류제명 과기정통부 네트워크정책실장은 "물리적으로 IMEI 15자리 값만으로는 제조사가 가지고 있는 단말별 인증키 값 없이 물리적인 복제가 불가능하다"면서 "SKT에서도 비정상 인증 차단 시스템(FDS) 고도화 작업을 완료해 네트워크 접속을 차단할 수 있다고 한다"고 설명했다.

앞서 조사단은 1차 조사 결과 발표 당시에는 IMEI 유출이 없는 것으로 확인됐다고 발표한 바 있다. 이번에 악성코드 감염이 확인된 서버는 1차 조사 이후 발견됐다. 류 실장은 "문제의 서버를 확인한 게 지난 11일이었고, 확인 즉시 SKT에 조치를 강구하라고 요구했다"면서 "SKT에서는 FDS 2.0에 대한 고도화 작업을 상당 기간 앞당겨서 적용했다"고 설명했다.

이번에 유출 가능성이 있는 것으로 파악된 서버에 저장된 개인정보 역시 암호화가 돼 있지 않은 것으로 확인됐다. 이동근 한국인터넷진흥원(KISA) 디지털위협대응본부장은 "이번에 발견된 임시저장된 정보들은 모두 평문(암호화가 안 된 정보)으로 돼 있었다"고 답했다. 최우혁 과기정통부 정보보호네트워크정책관은 "(개인정보 유출) 부분은 개인정보보호위원회에서 조사하고 난 뒤에 공식적으로 발표가 있을 것"이라고 말했다.

SKT의 신규가입 모집 중단 조치도 당분간 계속될 것으로 보인다. 류 실장은 "신규 가입 관련 일관된 원칙은 유심 교체를 원하는 기존 가입자의 이익이 가장 우선돼야 한다는 것"이라며 "유심 물량이 부족한 상황에서 기존 유심 가입자의 교체 수요가 있는데 그 물량이 신규 가입에 사용되는 것이 허용돼서는 안 된다는 입장"이라고 강조했다.

민관합동조사단은 6월까지 SKT 전 서버에 대한 조사를 마무리하고 최종 피해 규모와 유출 경로를 규명할 계획이다.

이명환 기자 lifehwan@asiae.co.kr
박유진 기자 genie@asiae.co.kr