😡SKT 해킹사고, 막을 기회 있었다?

구독자님, 안녕하세요! 해킹짹짹입니다. 👋

지난 4월, 대한민국을 충격에 빠뜨렸던 SKT 해킹 사태, 기억하시죠? 저희 해킹짹짹에서도 ‘SKT, 폭싹 털렸수다’ 편과 ‘💉백신에 대한 말, 말, 말(feat. SKT 해킹사고 업데이트)’ 편을 통해 긴급하게 소식을 전해드렸는데요. 그 후로 두 달 넘게 이어진 정부의 정밀 조사가 드디어 마무리되고, 7월 4일! 최종 조사 결과가 발표되었습니다.

이전 뉴스레터에서 저희는 "악성 코드는 빙산의 일각일 수 있다"고 말씀드렸는데요. 이번 최종 보고서를 통해 그 빙산 아래에 숨겨져 있던 더 거대하고 충격적인 진실이 드러났습니다. 🤯 한마디로, 단순 해킹 사고가 아니라 총체적 관리 부실이 빚어낸 예고된 인재(人災)였다는 사실이 명확해졌어요.

오늘은 그 최종 조사 결과를 바탕으로, 무엇이 어떻게 밝혀졌고 우리는 무엇을 알아야 하는지, 실제 발표 내용을 꼼꼼하게 담아 핵심만 쏙쏙 뽑아 정리해 드릴게요! 🔍

🕵️‍♂️ 최종 성적표: 2,696만 건의 유출, 드러난 민낯 낱낱이 파헤치기

출처: SK텔레콤 침해사고 최종 조사결과 발표

이번 조사는 그 규모부터 남달랐습니다. 정부는 사안의 중대성을 고려해 SK텔레콤의 전체 서버 42,605대를 대상으로 강도 높은 전수 점검을 시행했어요. 그 결과, 이전 발표와는 비교도 안 될 만큼 구체적이고 심각한 내용들이 확인되었습니다.

가장 큰 충격은 역시 사고의 근본 원인이었어요. 해커가 대단했다기보다, SKT의 보안망이 너무나도 허술했다는 사실이 드러났거든요.

🤦‍♂️ 총체적 난국, SKT의 3대 보안 실패

1. 초보자도 안 할 계정 관리 (feat. 비밀번호 평문 저장)

보고서에 따르면, SKT는 음성통화인증 관리서버 계정정보를 타 서버에 평문으로 저장했습니다. 공격자는 이렇게 평문으로 노출된 ID와 비밀번호를 활용해 2021년 12월 24일, 핵심 서버인 음성통화인증 관리서버에 손쉽게 접속한 후 악성코드를 설치할 수 있었습니다.

2. 숨겨왔던 나의~ ‘과거 침해사고’

더 충격적인 사실! SKT는 22.2.23일 악성코드에 감염된 서버를 발견하여 조치하였으나, 정보통신망법에 따른 신고 의무를 이행하지 않았다는 사실이 드러났습니다. 심지어 당시 점검 과정에서 SKT는 관련 서버의 로그기록 6개 중 1개만 확인하는 부실 점검으로 공격자의 접속 기록을 놓쳤고, 이로 인해 악성코드는 제거되지 않은 채 숨어있을 수 있었습니다. 그때 제대로 원인을 분석하고 신고했다면 이번 대참사를 막을 수 있었을지도 모릅니다.

3. “저희만 안 했어요” 유심 인증키 암호화

유심 복제의 핵심 정보인 ‘인증키(Ki)’ 값! 보고서는 "타 통신사들(KT, LGU+)도 암호화하여 저장하고 있으나, SK텔레콤은 암호화하지 않고 저장하였다"고 지적했습니다. 국제이동통신사업자협회(GSMA)의 권고 사항마저 무시한, 명백한 보안 투자 미비이자 직무 유기라고 볼 수밖에 없어요.

⚖️ 실수를 넘어 범죄로? SKT의 법적 책임

이번 조사는 SKT의 단순 과실을 넘어, 명백한 법 위반 행위까지 밝혀냈어요.

① 신고 지연 및 누락: SKT는 4월 침해사고를 법정 신고기한(24시간)이 지난 후에 신고했으며, 과거 타이니쉘 악성코드 감염 사실은 아예 신고조차 하지 않았습니다. 이는 명백한 법 위반으로 과태료가 부과될 예정입니다.

② 증거인멸 시도?: 가장 충격적인 부분입니다. 정부가 4월 21일 17시 42분에 SKT에 자료 보전 명령을 내렸으나, SKT는 불과 2시간 뒤인 19시 52분에 서버 2대를 디지털 증거수집(포렌식) 분석이 불가능한 상태로 임의 조치한 뒤 조사단에 제출했습니다. 증거를 숨기려 한 정황으로 볼 수밖에 없겠죠? 결국 이 문제는 수사기관에 수사를 의뢰할 예정입니다.

😡 가장 중요한 질문: 내 위약금, 정말 면제되나요? (결론: 네! 정부가 보증합니다 ✅)

구독자님들이 가장 궁금해하실 내용이죠. 정부는 최종적으로 이번 사태가 SKT의 명백한 귀책 사유에 해당한다고 못 박았습니다!

정부는 "① 이번 침해사고에서 SK텔레콤의 과실이 발견된 점, ② SK텔레콤이 계약상 주된 의무인 안전한 통신서비스 제공 의무를 다하지 못한 점 등을 고려할 때, 이번 침해사고는 SK텔레콤 이용 약관 제43조상 위약금을 면제해야 하는 회사의 귀책사유에 해당한다고 판단"했습니다.

이는 SKT가 안전한 통신 서비스를 제공해야 할 계약상 의무를 다하지 못했다는 공식적인 인정이에요. 따라서, 이번 해킹 사건으로 인해 통신사를 바꾸고 싶은 SKT 가입자들은 약정 위약금 없이 계약을 해지할 수 있게 됐습니다! 🥳

마무리하며

두 달 넘게 이어진 조사의 최종 결론은 씁쓸함을 넘어 분노를 느끼게 합니다. 😡

  출처: https://www.hani.co.kr/arti/economy/it/1205129.html

정부는 이번 사건을 계기로 통신망 보안 관련 법 제도를 뜯어고치고, 사이버 위협 예방부터 사고 대응까지 전반적인 보안 체계를 개편하겠다고 밝혔습니다. 부디 SKT가 뼈를 깎는 반성과 함께 실질적인 보안 투자에 나서고, 다른 기업들도 이를 계기로 경각심을 갖고 보안에 대한 인식이 높아지는 계기가 되었으면 좋겠습니다.

여러분은 이번 SKT 해킹사고의 원인에 대해 어떻게 생각하시나요? 댓글로 알려주세요! 👇

그럼 다음 뉴스레터에서도 중요한 소식이 있다면 발 빠르게 전해드릴게요! 📮

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌