[보안뉴스 한세희·조재호 기자] SK텔레콤 시스템이 해킹 당해 고객 유심(USIM) 정보가 유출됐다.
SK텔레콤은 19일 밤 악성코드로 사내 시스템에서 고객 유심 정보가 유출된 정황을 발견해 20일 한국인터넷진흥원(KISA)에 신고했다. 22일엔 개인정보보호위원회에도 신고했다.

문제가 된 시스템은 가입자 전화번호와 고유식별번호 등 유심 정보와 음성 서비스 제공에 필요한 정보 등을 통합 관리하는 ‘홈가입자서버’(HSS)이다. 가입자 정보를 관리하는 중앙집중화된 데이터베이스로, 사용자 등록 및 변경 관리, 인증, 권한 부여, 과금 등 광범위한 가입자 정보를 관리한다.

SK텔레콤은 유출 가능성을 인지한 후 문제의 악성 코드를 즉시 삭제하고, 해킹 의심 장비도 격리 조치했다. 이 정보가 악용된 사례는 아직 나타나지 않았다고 회사측은 밝혔다.

현재 정확한 유출 원인과 규모, 항목 등을 파악 중이다. 과학기술정보통신부는 비상대책반을 가동했고, KISA 전문가가 파견돼 현장 조사를 지원하고 있다.

하지만, 유심 정보 유출 후폭풍에서 자유롭지 못한 상황이다. 전형적인 2차 피해는 공격자가 타인의 IMSI 정보를 이용, 마치 자신의 바로 그 타인인 것처럼 네트워크에 접속하는 이른바 스푸핑(Spoofing) 공격이다. 이를 통해 전화 내용이나 문자 정보, 위치 추적, 과금 피해 등이 가능하다.

IMSI(International Mobile Subscriber Identity)는 심 카드에 저장된 사용자 고유식별 번호다. 네트워크 접속시 사용된다. IMSI는 15자로 구성된다. 구조는 MCC + MNC + 전화번호다. 대한민국 MCC(Mobile Country Code)는 450이다. SKT의 MNC(Mobile Network Code)는 05다. 예컨대, 전화번호가 12345678이면 SKT 가입자 IMSI는 4500512345678인 식이다.

홍동철 엠시큐어 대표는 “피해가 의심되면 바로 통신사에 신고 또는 문의해야 한다”며 “특히, 스파이 감시 방지와 같은 보안 프로그램 등을 통해 추가 정보유출을 막아야 한다”고 강조했다.

​고도의 핀셋 공격? 내부 소행?

공격 방식이나 침투 경로를 확인하긴 이른 단계이다. 국내에서 가장 보안이 강하다고 평가되는 SKT 핵심 서버를 공략한 것으로 보아 높은 수준의 해커들이 장기 진행한 작업 결과라는 추측이 나온다. 주변 서버나 시스템에 대한 접근 권한을 얻어 조금씩 권한을 높여가며 상위 시스템으로 올라갔다는 것이다.
내부 직원의 실수나 고의일 가능성 역시 배제하기 어렵다. 이 정도 내부 중요 시스템이라면 망분리 등을 통해 외부에서 접근하는 것 자체를 불가능하게 만들어 놓았을 것이라는 추측이다.
반면, 과거 다른 경로로 내부에 심겨져 잠복해 있던 악성코드가 발동된 것이라는 분석도 나온다. 해커들이 뿌려 둔 다양한 공격 중 일부가 작동한 우연적 상황일 수 있다는 것이다. 이런 추정 역시 강한 보안 조치가 된 HSS를 뚫기 쉽지 않다는 점에 근거를 두고 있다.​​