[컨슈머와이드-전휴성 기자] 19일 정부 2차 합동 조사 결과 발표에 대해 SK텔레콤(이하 SKT)이 추가 유출은 확인된 바 없다고 선을 그었다. SKT는 유심보호서비스 등 현존하는 기술력을 제공하고 있어 안전하다고 재차 강조했다.
앞서 SK텔레콤 해킹 사건을 조사 중인 민관 합동 조사단은 2차 조사 결과를 밝혔다. 조사 결과 SK텔레콤에 최초 악성코드가 설치된 시점이 지난 2022년 6월 15일로 확인됐다. 따라서 SkT에 대한 해킹 공격이 최소 3년 전부터 시작돼 지금까지 파악된 유심(USIM·가입자식별장치) 유출 정보 규모는 2천700만 건, 공격에 사용된 악성코드 종류는 총 25종(BPFDoor계열 24종과 웹셸 1종), 감염된 서버는 총 23대로 집계됐다. 앞서 정부 1차 조사 결과보다 21종, 18대 증가했다. 특히 1차 조사 결과에서는 “IMEI 유출은 없었다”고 밝혔지만 2차 조사결과에서 뒤집혀졌다. 악성코드가 감염된 서버들에 대한 정밀 포렌식 분석 중 연동 서버에 일정 기간 임시로 저장되는 파일 안에 IMEI 등이 포함되고 있음이 확인됐다. 해당 서버는 통합고객인증 서버와 연동되는 기기들로 고객 인증을 목적으로 호출된 IMEI(단말기 고유식별번호)와 다수의 개인정보(이름·생년월일·전화번호·이메일 등)가 저장돼 있었다. 조사단이 파악한 서버 저장 파일 규모는 IMEI 정보 총 29만 1천831건이다. IMEI 유출 시 휴대전화 복제와 이상 금융거래에 악용될 수 있다. 이젠 유출에 따른 우려를 해야 한단 이야기다.
이 같은 정부 2차 조사 결과에 대해 SKT는 안전하다고 재차 강조했다. 만약 이로 인한 피해가 발생 시 100% 책임지겠다는 입장도 고수했다.
19일 데일리 브리핑에서 SKT는 2차 조사 결과를 ▲유심 정보 2천696만 건 ▲악성 코드 25종, 감염서버 23대 ▲IMEI 29만 건 ▲개인 정보(이름, 생년월일 등) 등 4개 꼭지로 정리해 이에 대한 입장을 밝혔다.
류정환 네트워크 인프라센터장은 “유심 정보 2천696만 건에 대해서는 개인정보위원회(개보위)의 권고에 의해서 5월 1일자로 고객에게 고지를 했다.뿐만 아니라 유심보호서비스에 기입해 불법 유심 복제 피해를 차단 조치했다. FDS 서비스를 통해 불법 복제에 대한 차단을 계속 강화하고 있다”면서 “두 번째 악성코드가 늘어난 것인데 이걸 어떻게 보느냐에 따라 상당히 다를 것이다. 중요한 것은 발견된 악성코드 25종, 감염 서버 23대에 대해 격리조치 했다. 격리조치했다는 것은 이 서버를 완전 분리한 것이다. 이걸로 인한 영향은 현제까지 없다”고 밝혔다.
그러면서 “IMEI 29만 건은 유출된 것이 아니다. 유출 확인된 바 없다. 일단 복제가 사실상 불가능하다”면서 “FDS를 통해서 SK텔레콤 안에서 차단을 하고 있다. 일단은 안심해도 된다”고 설명했다.
이어 “개인정보 유출에 대해, 이번 조사 결과에 어떤 정보가 유출됐는지 대해서 구체적으로 나오지 않았다”면서 “일단 개보위의 판단을 믿어야 할 부분이다. 그러나 현재까지 유출이 확인된 바 없다. 추가로 유출된 것은 아직 확인되지 않았다. 추가로 유출된 것은 없다”고 단언했다.
아울러 “악성코드 수가 늘어난 것에 대해서는 정말 죄송하다. 하지만 SKT가 이런 것을 속이거나 거짓말 한 적이 없다. 유출과 침해에 대한 시간을 정확하게 신고했다. 늦어다면 그에 대한 질책을 달게 받겠다”면서 “현재까지 저희가 검토할 수 있는 통합보안관제 모든 기록을 대상으로 봤을 때 추가적인 유출은 일단 없는 것으로 판단하고 있다”고 부연했다.
덧붙여 “단말 복제는 사업자 영역이 아니고 단말 제조사의 영역이다. 단말제조사로부터 불가하다는 의견을 확인했다”라면서 “그런데 설사 단말이 복제됐다고 하더라도 FDS 2.0을 통해서 복제폰이 SKT 망에 접속하려 오는 것을 차단하고 있다. FDS 2.0은 불법 단말 복제를 차단하는 것이다. 정말 안심해도 된다. 이번 사고로 피해가 발생하게 되면 저희가 책임지겠다”고 재차 강조했다.
이날 민간 조사단은 해킹으로 개인정보가 유출된 서버의 파일들이 암호화 되지 않았다고 밝혔다. 암호화가 돼 있었다면 해킹으로 정보가 유출됐어도 안전할 수 있었다. 암호화 하지 않아 피해를 키웠다는 지적이 일고 있다.
이에 대해 류정환 네트워크 인프라센터장은 “이번 사고를 통해 미흡한 점을 보고 있다”면서 “백신을 깐다든지 암화화를 하는 것이 무조건 좋을 수는 없다. 트레이드 오프라는 게 있습니다. 백신을 깔던 암호화를 깔든 그거를 깔게 되면 성능이 저하될 수밖에 없다. 그러나 이번 사건을 계기로 미흡했던 부분을 보안할 수 있도록 하겠다”고 말했다.
김희섭 PR센터장은 “암호화를 법적으로 해야 되는 부분이 있고 사업자가 자체적으로 할 수 있는 부분이 있다. 모든 정보를 다 암호화를 하면 우리가 통신 서비스를 제공하는 데 장애가 있을 수 있다”면서 “이번 사고를 계기로 저희가 좀 더 좀 더 안전하게 할 수 있는 방법이 없는지 암호화를 좀 더 강화한다든지 좀 더 적용을 많이 한다든지 아니면 보안 장치들을 더 많이 설치를 한다든가 인원을 더 많이 투입한다든가 그런 부분에 대해서는 저희가 종합적으로 보고 있다”고 부연했다.
정부 2차 조사 결과를 믿을지, 아님 SKT의 해명을 믿을지는 SKT 가입자의 몫이다. 따라서 통신 가치소비 선택이 중요해지는 시기다.