출처=SK telecom 공식 홈페이지

유심보호서비스만으로 막을 수 있는 해킹 피해

SKT 텔레콤의 유심 정보가 해킹되면서 가입자들은 개인정보를 이용해 불법적 피해를 당하지는 않을지 우려하고 있다. 이번 해킹으로 실제 유출된 정보는 총 25종으로, 이 가운데 전화번호와 가입자식별키(ISMI) 등 유심 복제에 악용될 수 있는 주요 정보 4종과, 유심 정보 처리에 쓰이는 관리용 정보 21종이 포함돼 있다.

과학기술정보통신부의 중간 조사에 따르면, 단말기의 고유 식별번호인 IMEI는 유출되지 않은 것으로 확인됐다. IMEI는 각 휴대전화에 부여되는 고유번호로, SK텔레콤의 유심 보호 서비스에 가입한 경우 유심이 복제되더라도 IMEI 값이 다르기 때문에 통신사가 해당 단말기의 접속을 차단할 수 있다.

스마트폰 전원을 끄거나 비행기 모드가 켜졌을 때 복제 유심을 활용해 유심 주도권이 탈취될 수 있다는 우려도 비정상인증시도 차단(FDS)으로 막을 수 있다. FDS는 불법으로 복제된 유심으로 통신망 인증을 시도하는 것을 실시간으로 모니터링해 차단하는 시스템으로 다양한 보안 로직을 적용해 비정상적인 인증을 차단한다. 서울에 있는 고객의 휴대폰 위치 등록 신호가 부산에서 잡히면 이를 비정상으로 판단해 인증을 막는다. 

SK텔레콤은 사고 발생 직후 FDS 정책을 최고 보안 수준으로 격상했다. 따라서 SK텔레콤에서 제안하는 보호 조치를 충실히 따른다면 금전적 피해는 가능성이 낮다.

보이스피싱 피해자, 유심해킹보다 스미싱이 원인일 가능성 높아

SKT 해킹 사고로 인해 보이스피싱 피해사례가 발생했다는 게시글이 SNS에서 일파만파 퍼지고 있다. 실제로 부산 남부경찰서는 60대 남성으로부터 이와 관련된 신고를 접수하고 정확한 경위를 조사 중이라고 밝혔으나, 이 사건과 최근 SK텔레콤의 유심정보 유출 사고와의 직접적인 연관성은 아직 확인되지 않았다. 피해자가 부고 문자로 위장된 피싱 메시지의 링크를 클릭한 정황을 근거로, 유심 유출보다는 스미싱에 의한 피해 가능성에 무게를 두고 있다.

경찰에 따르면 이 남성은 지난 22일, 사용 중이던 SKT 휴대전화가 갑자기 작동하지 않아 대리점을 방문했고, 그 과정에서 본인 명의로 다른 알뜰폰이 KT에 개통됐으며, 기존 휴대전화는 정지된 상태라는 사실을 확인했다. 같은 날, 그의 통장에서 1000만 원씩 총 5차례에 걸쳐 총 5000만 원이 외부 계좌로 이체되는 피해도 발생했다.

경찰은 현재로서는 SKT 유심 정보 유출과 직접적인 연관성은 낮다고 보고 있지만, 정확한 경위를 계속 수사 중이다. 경찰청 관계자는 "유심 정보만으로는 다른 통신사에 명의 도용 후 개통을 하는 것은 현실적으로 어렵다"고 설명했다. SK텔레콤 측도 "개통에는 이름, 주민등록번호, 금융정보 등이 필요하며, 유출된 유심 정보에는 암호화된 가입자 식별 정보 정도만 포함돼 있다"고 밝혔다.

SKT의 대응은 너무 늦었을까?

SK텔레콤은 유심 해킹 사태 이후 관련 조치를 연달아 내고 있지만 가입자들은 SKT의 대응속도가 빠르지 못했다고 비난하고 있다. 유심을 변경하는 것조차 예약을 해야 하고, 대리점에 직접 방문해야 한다는 점에 불만을 표하고 있다. 그러나 일각에서는 SK텔레콤의 대응이 비교적 적절했다는 평가도 나온다. SK텔레콤은 지난달 18일 오후 6시 9분, 사내 시스템에서 이상 징후를 감지했고, 당일 오후 11시 20분에 해킹 사실을 공식적으로 확인했다. 이후 22일 피해 사실을 공개하고, 발표 일주일도 채 지나지 않은 28일부터 전국 매장에서 유심 무상 교체를 시작했다.

반면 LG유플러스는 2023년 1월 2일 해킹 사실을 인지한 뒤, 10일에 홈페이지를 통해 개인정보 유출 사실을 공지하고, 같은 달 20일부터 유심 무료 교체를 실시했다. 공식 발표 이후 조치까지 약 40일이 소요된 셈이다. 당시 유출된 정보는 이름, 생년월일, 전화번호 등 민감한 개인정보였으며, 피해 규모도 유·무선 및 IPTV 이용자 18만 명에 달했다.

물론 SK텔레콤의 대처에도 아쉬운 점은 있다. 로밍 이용자들은 유심 보호 서비스에 가입하기 어려워, 늦어도 5월 중순까지는 별다른 조치를 받기 힘들다. 또한 오프라인 매장에서 유심 무료 교체를 시작하면서도 온라인 예약 시스템을 사전에 마련하지 못한 점도 미비한 대응으로 지적된다. 그럼에도 이번 해킹은 주민등록번호나 계좌번호처럼 직접적인 금융 피해로 이어질 수 있는 정보가 유출된 것은 아니다. 유출된 정보는 유심 관련 정보에 한정되며, 유심 보호 서비스에 제대로 가입만 한다면 가입자들이 우려하는 피해는 일어나지 않을 것이다.