[이데일리 최연두 기자] “SK텔레콤 이용자의 유심(USIM) 정보가 외부로 어느 정도 유출됐는지는 아직 조사가 진행 중이어서 정확히 파악되지 않았다. 이용자들에게 주의를 환기한다는 이유로 확인되지 않은 사실을 보도하는 일은 자제해야 한다.”

김승주 고려대 정보보호대학원 교수(사진=본인제공)

유심복제 전화 개통 범죄 가능성 당장은 크지 않아

김승주 고려대학교 정보보호대학원 교수는 최근 이데일리와의 전화 인터뷰에서 이 같은 견해를 밝혔다. 유심(USIM)은 회선 전화번호와 고유식별번호 등 이용자의 핵심 정보를 담고 있는 소형 칩으로, 휴대전화 한 대에 하나씩 장착된다.

국내 1위 이동통신사 SK텔레콤(017670)은 지난 22일 오전, 자사 이용자의 유심 정보를 관리하는 서버가 악성코드 공격을 받아 일부 정보가 유출됐을 가능성이 있는 정황을 발견했다고 밝혔다. SK텔레콤은 해당 악성코드를 즉시 삭제하고, 유출 규모 등을 조사 중이라고 설명했다.

그러나 이후 일부 언론에서는 유심 정보가 이미 유출된 것으로 단정하고, 이를 통한 2차 피해 가능성에 초점을 맞춘 보도를 이어갔다. 특히 이번 사고와 직접적인 관련성이 낮은 ‘심스와핑’ 등의 공격 가능성을 지속적으로 제기한 데 대해 김 교수는 우려를 나타냈다.

그는 “심스와핑은 해커가 특정인을 사칭해 그 명의로 휴대전화를 개통하는 범죄로, 이미 주민등록증 등 개인정보를 확보한 상태에서 이뤄지는 것”이라고 설명했다. 다만 “유심 정보가 유출될 경우, 유심 복제(클로닝)를 통해 문자메시지를 가로채거나 계정 비밀번호를 변경하는 등의 피해는 발생할 수 있다”고 덧붙였다.

복제폰을 이용해 인터넷뱅킹을 통한 무단 계좌이체 등 금전 탈취가 발생할 가능성은 낮다고 김 교수는 설명했다. 그는 “인터넷뱅킹은 로그인 이후에도 공인인증서, 일회용 비밀번호(OTP), 계좌 비밀번호 등 추가 인증 절차를 요구하기 때문에, 단순한 유심 정보만으로 금융 피해를 입히기는 어렵다”고 말했다. 이어 “SK텔레콤은 이러한 본인인증 정보를 보유하고 있지 않다”고 덧붙였다.

유영상 SK텔레콤 대표가 지난 25일 서울 중구 SKT타워에서 고객 정보 보호조치 강화 설명회를 열고 SK텔레콤 이용자 유심정보 관리 서버 해킹에 대해 고개 숙여 사과하고 있다. (사진=SKT)

유심 비밀번호 설정 방법은 한계

또한 김 교수는 사고 대응책으로 ‘유심 비밀번호 설정’을 권고하는 일부 주장에 대해서도 신중한 입장을 나타냈다. 그는 “유심 비밀번호 설정은 물리적으로 유심이 탈취됐을 경우를 대비한 조치일 뿐”이라며 “이번처럼 서버가 해킹당한 사고에는 실질적인 대응책이 될 수 없다”고 강조했다. 이어 “불안감을 느낀다면 통신사의 유심 보호 서비스에 가입하는 것이 가장 현실적인 방안”이라고 조언했다.

철저한 원인 분석과 책임 규명 필요

향후 조사 및 대응 방향에 대해서도 구체적인 견해를 밝혔다. 그는 “유심 정보 유출이 사실로 확인된다면, 어느 범위까지 정보가 빠져나갔는지 조사하는 것이 우선”이라며 “SK텔레콤이 유심 전면 교체를 결정한 만큼, 악성코드가 다른 서버로 확산되지 않았는지도 철저히 점검해야 한다”고 강조했다.

이어 “이번 공격이 제로데이(사전에 알려지지 않은 취약점을 노린 공격)였는지, 아니면 이미 알려진 취약점을 통해 이뤄진 것인지에 대한 분석이 필요하다”며 “이에 따라 책임 소재를 규명하는 절차도 뒤따라야 한다”고 설명했다.

김 교수는 “미국은 조 바이든 대통령 취임 이후, 사이버 공격에 대한 책임을 정부, 대기업, 중소기업, 개인 순으로 묻는 체계를 확립했다”며 “반면 우리나라는 정부가 항상 면죄부를 받는 구조이며, 특히 북한의 소행으로 판명될 경우 제로데이 여부와 관계없이 이런 경향이 더 두드러진다”고 지적했다.

그는 과거 사례를 언급하며 “소니픽처스엔터테인먼트 해킹 사건도 북한의 소행으로 밝혀졌지만, 방어가 가능했던 공격으로 판단되면서 소니픽처스가 개인정보가 유출된 직원들에게 배상했다”고 설명했다. 그러면서 이번 사건 역시 철저한 원인 분석과 책임 규명이 필요하다고 강조했다.

한편 SK텔레콤은 지난 25일 설명회를 열고, 악성코드를 처음 인지한 시점은 18일 오후 11시 20분이라고 밝혔다. 이어 19일 오후 11시 40분경 유심 정보 유출 사실을 확인했으며, 사안의 중대성을 고려해 신고 요건을 검토하는 과정에서 기관 신고가 다소 지연됐다고 해명했다. SK텔레콤은 20일 오후 4시 46분경 사고를 신고했다. 과학기술정보통신부는 한국인터넷진흥원(KISA) 등과 함께 민관합동조사단을 구성해 사고 원인과 피해 규모를 조사 중이다.