🤯 SKT, 폭싹 털렸수다

구독자님 안녕하세요, 오늘 살펴볼 주제는 대한민국을 흔들었다 해도 과언이 아닐만한 SKT 해킹 사건에 대해서 다뤄보겠습니다. 이번 뉴스레터는 사건이 사건인 만큼 조금은 긴 호흡으로 다각도에서 사건을 살펴보겠습니다. 🧐

사건을 요약하면 다음과 같습니다.

4월 18일 밤, SK텔레콤의 핵심 서버가 악성코드에 감염되며, 수천만 명의 유심 정보가 유출된 정황이 포착됐습니다. 이로 인해 2,500만 명 전 고객을 대상으로 유심 무료 교체가 시작됐고, 정부·금융당국·군까지 비상 대응에 나섰습니다.

도대체 어떤 일이 일어난 걸까요?

✍ SKT 유심 해킹 사건의 흐름  

SK텔레콤 네트워크에서 비정상적인 데이터 이동(9.7GB)이 처음 감지되면서 이번 사건이 시작되었습니다. 내부 분석 결과, 과금 분석 장비에서 악성코드와 파일 삭제 흔적이 발견되었고, 이를 통해 내부 해킹을 인지하게 되었어요. 현재 SKT는 KISA에 사고 사실을 신고하고 개인정보보호위원회에 보고했으며, 경찰에 수사를 요청한 후 공식 발표를 통해 사건 내용을 공개했습니다.  

최장혁 개인정보보호위원회 부위원장은 29일 오후 서울 종로구 정부서울청사에서 열린 4월 정례브리핑에서 “국내 1위 통신사의 메인 서버가 해킹당했다는 사실 자체가 매우 상징적”이라며 “해킹 기술은 고도화되고 있지만, 대기업들의 개인정보 보호 예산은 제자리걸음”이라고 지적했어요.   

출처: 개인정보보호위원회

비슷한 사례는 2023년 1월에도 있었습니다. 당시 LG유플러스는 해킹 공격으로 약 30만 건의 고객 정보가 유출됐습니다. 유출된 항목에는 휴대전화번호, 이름, 주소, 생년월일, 이메일, 아이디, USIM 고유번호 등 무려 26개에 달했습니다. 이 정보들은 불법 유통 사이트에 유포되었고, 스팸 문자 발송이나 피싱 사이트 유도 등 2차 피해 우려가 뒤따랐습니다. 개인정보보호위원회는 LG유플러스에 과징금 68억 원과 과태료 2,700만 원을 부과했지만, 정작 피해 이용자들에 대한 실질적인 구제는 이뤄지지 않았습니다. 스미싱 등 피해를 입증하기 어렵다는 이유 때문이었습니다. 

⚖️ 정부와 SKT의 대응은?

SKT 유출사고에 대해 정부와 SKT는 어떤 대응을 했을까요?

🏛 정부

📡 SK텔레콤

이번 사건의 경우 규모가 이전과 다른데요. 이제 이 사건을 사용자 공격, 개인정보보호법, 악성코드 관점에서 한층 더 깊이 들여다보겠습니다.  

🦹 유출된 정보로 어떤 공격을 할 수 있어?  

과학기술정보통신부에서 공개한 보도자료에 따르면 현재 유출된 정보는 “가입자 전화번호, 가입자식별키(IMSI) 등 유심(USIM) 복제에 활용될 수 있는 4종과 유심(USIM) 정보 처리 등에 필요한 SKT 관리용 정보 21종”이라고 해요. 또한, 단말기 고유식별번호(IMEI)는 유출되지 않았다고 해요. 여기서 유심(USIM) 복제는 뭘까요?

USIM 복제는 말 그대로 이 칩에 저장된 정보를 몰래 빼내서 똑같은 복제품을 만드는 행위를 말합니다. 마치 내 신분증을 누군가 몰래 복사해서 악용하는 것과 비슷하다고 생각하면 이해하기 쉬울 거예요! 😱

그럼 이 중요한 USIM을 복제하려면 어떤 정보가 필요할까요? 🔑 바로 USIM 카드마다 고유하게 부여된 가입자 식별 번호(IMSI) 와, 통신사와 사용자 본인임을 인증하는 데 사용되는 비밀 인증 키(Ki) 값이 핵심이에요. 특히 이 'Ki' 값은 절대 외부에 노출되어서는 안 되는 아주 민감한 정보입니다! 이 정보들이 유출되면 복제가 가능해지는 거죠. 현재 일부 기사들에서는 이 ‘Ki’ 값이 유출되었다고 나오지만 보도자료에서는 직접적으로 언급되진 않았어요. 하지만 “유심 복제에 활용될 수 있는 4종”이라고 언급해 ‘Ki’ 값이 유출되었을 가능성이 높아 보입니다.

만약 누군가 내 USIM 정보를 손에 넣어 복제에 성공했다면? 내가 받아야 할 전화나 문자를 복제범이 대신 가로채서 확인할 수 있어요. 특히 은행 거래나 웹사이트 로그인 시 필요한 2단계 인증(2FA) 문자 메시지를 중간에서 탈취당하면 금전적인 피해나 계정 해킹으로 이어질 수 있겠죠? 😨

이와 관련해서 이동통신 보안전문가이신 카이스트 김용대 교수님이 기술적인 내용들에 대해 FAQ를 작성해 공개했어요. 자세한 내용은 아래 글에서 확인해 주세요.

🙅‍♂️ IMEI가 유출되지 않아서 유심 복제는 안 된다고 하는데?

아니에요. ❌ 위에서 언급했듯이 USIM 복제에는 IMEI가 필요하지 않아요. 그렇다면 왜 IMEI가 유출되지 않아서 공격이 되지 않을 것이라는 말이 나왔을까요?🤔 보도자료에서는 다음과 같이 언급했어요.  

핸드폰이 인터넷에 접속하면 통신사에서는 이 IMEI 값을 통해 기기를 구분해요. SKT의 유심보호서비스에 가입하면 유심 복제가 방지된다는 말은 IMEI가 유심 복제에 사용되지만 유출되지 않아서 안전하다는 것이 아닌, 유심보호서비스에서 IMEI 값을 통해 통신망 내에 같은 유심을 사용하는 다른 기기를 식별할 수 있어 이를 통해 내 기기가 아닌 다른 기기에서 내 번호를 사용하지 못하도록 할 수 있다는 것을 의미해요. 유출된 정보를 통해 유심이 복제될 수 있는 것은 맞지만 다른 방법으로 악용하지 못하게 막는 것이죠! 유심보호서비스, 꼭 가입해야겠죠?  

🔐 이 정보들, 어떤 목적으로 수집・이용됐을까요?

유출된 정보 중 21종은 유심 정보 처리에 필요한 관리용 정보라고 되어 있어 이는 수집된 정보는 아닌 것으로 보여요. 따라서 사용자로부터 수집한 정보 중 유출된 정보는 총 5종, 즉 “가입자 전화번호, 가입자식별키(IMSI) 등 유심(USIM) 복제에 활용될 수 있는 4종”이라고 볼 수 있습니다.

SKT의 개인정보처리방침에 따르면, 유심 정보 등은 다음과 같은 목적으로 수집・이용되고 있어요

즉, 통신 서비스 제공을 위해 꼭 필요한 정보이지만, 동시에 활용 범위가 넓고 민감한 정보이기 때문에 보호가 매우 중요해요.

출처: SK텔레콤 개인정보 처리방침 중 일부

📜 법적으로는 어떤 문제가 있을까?  

개인정보보호법 제34조는 개인정보가 유출된 경우 사업자가 지체 없이 정보 주체에게 알리고, 필요한 경우 관계기관에 신고하도록 규정하고 있어요. 또한 통지 시 유출 항목, 발생 시점과 경위, 대응 조치, 피해 최소화 방법 등을 명시해야 합니다.

SK텔레콤의 이번 대응은 이러한 법적 통지 의무를 충실히 이행했는지에 대한 의문을 남깁니다. 홈페이지 공지에 그친 것은 통지 요건 미충족으로 해석될 수 있고, 피해자 보호 조치 또한 미흡했다는 비판이 나오고 있어요.

출처: Tworld

💰 과징금 규모는 어느 정도일까?  

SK텔레콤은 본사 메인 서버가 해킹된 사례로, 2023년 LG유플러스 사건과는 해킹 범위와 법 적용 기준에서 차원이 다르다는 평가를 받고 있어요.

최 부위원장은 과징금이 더 클 수밖에 없는 배경으로 다음 세 가지를 들었어요:

이번 사건에서 핵심 쟁점은 유출된 유심 인증 정보가 개인정보에 해당하는가 하는 점이에요. 개인정보보호위원회는 현재로선 ‘개인정보로 보고 조사 중’이라는 입장을 밝혔어요.

최 부위원장은 “유심을 보관한 메인 서버의 안전성 확보 조치 여부와 정보의 개인 정보성 여부가 주요 쟁점”이라며, “전체 매출 중 관련 없는 부분을 제외하더라도 적용 범위는 상당히 넓을 것”이라고 덧붙였어요.

🚪 공격에 사용된 악성 코드: BPFdoor  

현재 KISA에서 이번 공격에 사용된 IP와 악성 코드를 공개하였어요. 아직 조사 중이기에 밝혀지지 않은 정보도 있지만, 공격에서 사용된 악성 코드는 기존 프로그램과 서비스 같은 이름으로 위장하여 SKT의 홈 가입자 서버(HSS)에 숨어 있었어요. 악성 코드는 해커가 언제든지 시스템에 침입할 수 있도록 뒷문을 열어 놓는 행위를 하는 백도어 형태의 악성 코드에요. 이름은 바로 BPFdoor라고 해요!

출처: 안랩

BPFdoor는 BPF라는 네트워크 기술을 이용해 만든 악성 코드에요. BPF(Berkeley Packet Filter)는 리눅스 운영체제 수준에서 동작하는 네트워크 기술에 일종으로 실제 네트워크 메시지를 직접 조작할 수 있고, 네트워크 연결 또한 직접 제어할 수 있습니다. 그렇기 때문에 상용 네트워크 프로그램과 보안 프로그램에서도 유용하게 사용하는 기술🔧이에요.

문제는 이 BPF 기술을 악용해 만든 BPFdoor가 마치 스텔스 모드를 한 것처럼 탐지와 추적이 어렵다고 해요. 🕵🏻

1. 방화벽 우회🧱

BPF 기술의 특성상, 리눅스 운영체제 방화벽 규칙보다 먼저 동작하게 돼요! 따라서 방화벽에서 차단하도록 설정하게 되었어도, BPFdoor는 방화벽에 걸리기 전에 먼저 행동을 취할 수 있어요. 그리고 운영체제 수준에서 직접 통신 연결을 하기 때문에, 방화벽으로 차단하기도 어려워요.

2. 일반적인 시스템 로그가 남지 않음 👣

기존의 백도어들은 외부와 통신 연결하는 과정에서 컴퓨터 시스템의 기록인 로그가 남게 되고, 이를 이용하여 악성코드를 탐지하거나 추적할 수 있어요. 그러나 BPFdoor의 경우 정상 시스템 서비스로 위장하고 운영체제 수준에서 직접 통신 연결을 하기 때문에, 일반적인 시스템 로그가 발생하지 않기에 탐지와 추적이 어려워요.

3. 탐지하기 어려운 네트워크 메시지 🪄

BPFdoor는 시스템에 은밀히 숨어있다가, 악성 코드를 실행하라는 네트워크 메시지인 매직 패킷을 받으면 동작하도록 설계되어 있다고 해요. 이 메시지는 정상적인 네트워크 메시지와 구분이 어렵기 때문에 탐지하기가 어려워요.

🦠 누구의 소행일까..? 

세계적인 컨설팅 업체 PwC에서 2021년에 발표한 보고서에서 이미 BPFdoor에 대한 경고를 했었어요. 문서에 따르면, BPFdoor는 중국 기반 APT 그룹 레드 멘션(Red Menshen) 주로 사용한 악성 코드이며, 중동 및 아시아 전역의 통신 사업자와 정부를 대상으로 공격을 하는 것을 포착했다고 해요. 미국의 보안 기업 Trendmicro에서 작성한 보고서에 따르면, 이미 2024년 7월과 12월에 한국의 통신사를 대상으로 한 공격 시도가 있었다고 발표했어요. 국내 보안 기업인 안랩에서도 BPFdoor 악성 코드에 대해 경고하고, 이에 대한 대응 솔루션을 소개하는 글을 작성하기도 했어요.

BPFdoor 악성 코드의 소스 코드는 오픈소스로 인터넷에 공개된 상태예요. 공개된 악성 코드는 누구나 접근이 가능하기 때문에, 현재로서는 공격자와 그 배후를 특정하기 어려운 상황이에요. 그리고 공개된 악성 코드를 수정 및 개량하여 변종 BPFdoor로 재생산된다고 해요!

출처: github

🧩 악성 코드는 빙산의 일각일 수 있다...?  

BPFdoor와 같은 백도어 형태의 악성 코드는 해킹 공격이 성공한 후에 해커가 다시 시스템에 들어오기 좋게 만든 뒷문이기 때문에, 실제로 시스템에 가해진 공격은 따로 있을 가능성이 높아요. 악성 코드를 시스템에 설치할 수 있도록 원인이 된 해킹 공격과 취약점을 분석하고 식별하는 것이 진행되고 있는 조사의 관건이 될 것 같아요.

현재까지는 SKT의 홈 가입자 서버(HSS)에 발견된 악성 코드만 밝혀져 있기 때문에, 추후 조사에서 정확한 공격이 밝히는 것이 중요해요. 그리고 추가적으로 탈취한 정보는 없는지, 이와 유사한 공격이 다른 통신사나 정부 기관에서 발생하지 않았는지 점검과 대응책을 마련하는 것도 필요해요.

마무리

구독자님, 오늘 SKT 해킹 사건에 대해 깊이 파고들어 봤는데요. 생각보다 훨씬 심각하고 복잡한 문제라는 걸 알 수 있었어요. 🤦‍♂️

수천만 명의 민감한 유심 정보가 유출될 수 있었다는 정황 자체만으로도 아찔한데, 공격에 사용된 'BPFdoor' 악성코드는 이미 수년 전부터 알려져 경고까지 됐던 것이라니 더욱 충격적입니다. 🤯 게다가 이 악성코드는 단지 '백도어'일 수 있고, 실제 공격 방식이나 추가적인 피해 규모는 아직 조사 중이라는 점에서 불안감은 여전하죠.

이번 사태는 단순히 한 기업의 문제를 넘어, 우리 사회의 디지털 인프라 보안 전반에 대한 경각심을 일깨워주고 있어요. 개인정보보호법 개정으로 SKT가 부담해야 할 과징금 규모도 이전 사례와는 비교할 수 없을 정도로 커질 수 있다는 전망이 나오는 만큼, 기업들의 책임감 있는 자세와 실질적인 투자 확대가 절실해 보입니다. 💰

물론 SKT가 유심 무료 교체와 '유심 보호 서비스' 같은 대응책을 내놓고 정부도 발 빠르게 조사에 착수했지만, 이것만으로 모든 불안감이 해소되긴 어렵겠죠? 🤔 당분간은 우리 스스로도 '유심 보호 서비스' 가입과 같은 능동적인 대처를 하고, 관련 소식에 귀를 기울이며 개인 정보 보호에 더 신경 써야 할 것 같습니다.

정부와 관계 기관의 조사가 계속 진행 중이니, 앞으로 나올 추가적인 정보와 근본적인 재발 방지 대책 마련을 함께 지켜봐야겠습니다. 🕵️‍♂️

다음 뉴스레터에서도 중요한 소식이 있다면 발 빠르게 전해드릴게요! 📮

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌