Board

은닉성 높은 ‘BPF도어’ 악성코드 쓰여…고도화된 공격에 속수무책

커지는 소비자 불안…전문가 “투자 확대 및 보안 의식 강화 필요”

국내 이동통신 업계 1위 SK텔레콤(SKT)에서 유심(USIM; 가입자식별모듈) 관련 정보가 유출됐다. SKT는 미상의 공격자가 악성코드를 심은 뒤 홈 가입자 서버(HSS)에서 가입자식별키(IMSI) 등 유심 정보를 빼낸 정황을 파악해 신고 조치했다. 이후 정부에서는 민관합동조사단을 꾸려 사건 경위 파악과 피해 현황 조사에 착수했다.

이번 사건은 우리나라 사이버보안 전반에 파문을 일으키고 있다. 조사 과정에서 SKT의 보안 체계에 허점이 드러나며 이를 성토하는 목소리가 커졌다. 더욱이 유출 정보가 범죄에 악용될 가능성이 제기되며 소비자 불안감도 증폭됐다. 보안 프로그램을 회피하는 악성코드가 발견됨에 따라 추가 피해를 막기 위한 다각적인 노력도 이어지는 중이다. SKT 해킹 사건의 발생부터 정부와 보안업계의 대응, 기술적 분석, 그리고 앞으로 나아가야 할 방향까지 살펴본다.

2천만 고객 유심 정보 유출…정부, 수사기관 조사 착수

SKT는 지난 4월 22일 공식 홈페이지를 통해 악성코드로 인해 고객 유심 정보 일부가 유출된 것으로 의심되는 정황을 발견했다고 발표했다. 당시 SKT는 유출 가능성 인지 후 바로 해당 악성코드를 삭제했으며 해킹 의심 장비도 격리 조치했다고 전했다. 이와 함께 유심 복제를 통한 불법 기기 변경을 막기 위해 유심보호서비스를 제공하기 시작했다.

SKT가 이상 징후를 처음 감지한 시점은 4월 18일이었다. 18일 오후 6시경 SKT 네트워크 인프라센터는 트래픽 이상 징후를 처음 감지했고, 센터 내 정보보호실은 이 상황을 인프라운용본부와 공유한 뒤 조사에 착수했다. 다섯 시간 뒤인 밤 11시경, 과금분석장비(WCDR)에서 악성코드가 심어진 사실과 함께 파일이 삭제된 흔적이 발견됐다.

다음 날인 19일 새벽 1시께 SKT는 해당 WCDR을 격리 조치하고 침입 경로 및 유출 데이터 분석을 시작했다. 같은 날 밤 11시 40분 홈 가입자 서버 3대에서 데이터 유출이 의심되는 정황을 확인했다. 내부적으로 유심 정보 유출 사실을 확정하고 20일 오후 3시 30분 내부 결정권자에게 공식 보고했으며, 약 한 시간 후인 4시 46분 한국인터넷진흥원(KISA)에 침해 사실을 신고했다. 22일 오전 10시에는 개인정보보호위원회에 개인정보 유출 정황을 신고했다.

신고를 접수한 과학기술정보통신부와 KISA는 즉각 피해 현황 및 원인 조사에 착수했다. 과기정통부는 23일 최우혁 정보보호네트워크정책관을 단장으로 민관합동조사단을 꾸렸다. 조사단에는 KISA와 보안업계 민간 전문가 총 10여 명이 참여했다.

개인정보위도 신고 당일(4월 22일) 조사에 착수했다. 정보통신망법에 근거한 과기정통부 민관합동조사단의 침해사고 조사과 달리, 개인정보위는 개인정보 유출 대상 및 피해 규모와 보호법상 안전조치 의무 위반 여부를 확인했다.

이와 더불어 경찰도 해킹 경위·배후에 대한 수사에 나섰다. 서울경찰청 사이버수사과는 30일 22명 규모 전담수사팀을 편성했다.

과기정통부 민관합동조사단은 4월 29일 일주일간 조사한 결과를 1차 발표했다. 조사단은 공격 정황이 있는 3종 5대 서버를 살펴본 결과, 가입자 전화번호, 가입자식별키(IMSI) 등 25종의 정보가 유출된 사실을 확인했다. 이와 함께 침투에 사용된 BPF도어(BPFDoor) 계열의 악성코드 4종도 발견했다.

조사단은 SKT 내 리눅스(Linux) 서버 3만여 대를 네 차례에 걸쳐 점검한 뒤 5월 19일 2차 조사 결과를 발표했다. 유출된 유심 정보 규모는 9.82기가바이트(GB)였고 IMSI 기준 26,957,749건이었다.

조사단은 1차 발표 시 공지한 악성코드 4종 외에, 5월 3일 공지한 8종을 포함해 BPF도어 계열 20종과 웹셸(Web Shell) 1종을 추가 발견했다. 또 2022년 6월 15일 악성코드가 최초 설치된 사실을 파악했다. 공격받은 정황이 있는 서버는 총 23대로 늘어났다. 조사단은 15대에 대한 정밀 분석을 마무리했고, 8대도 조만간 분석을 완료키로 했다.

2차 결과에서 논란을 빚은 점은 단말기 고유식별번호(IMEI)와 개인정보 유출 가능성이었다. 1차 조사에서는 IMEI 유출이 확인되지 않았지만 2차 조사에서 해당 정보가 임시 저장된 서버 2대에 대한 공격 정황이 발견됐다.

조사단은 방화벽 접속 기록이 남아있는 2024년 12월 3일부터 2025년 4월 24일 사이 자료 유출이 없었음을 확인했다. 다만 악성코드가 최초 설치된 시점부터 접속 기록이 남아있지 않은 기간(’22.06.15.~’24.12.02.)의 자료 유출 여부는 확인하지 못했다.

조사단은 문제 서버를 확인하고 정밀 분석이 끝나기 전이라도 자료 유출 가능성을 자체 확인하고, 이로 인한 피해를 예방하는 조치를 마련하라고 요구했다. 또한 개인정보의 경우, 개인정보위에서 조사가 필요한 사항이라는 판단에 따라 해당 사실을 5월 13일 통보하는 한편, 확보한 서버 자료를 공유했다.

이번 사건을 두고 SKT의 미흡한 보안 체계를 꼬집는 목소리가 나오고 있다. 우선 유심 관련 정보에 암호화가 이뤄지지 않은 사실이 확인됐다. 암호화는 보안이 필요한 정보를 특정 알고리즘을 통해 의미 없는 문자열로 바꾸는 작업이다.

암호화가 이뤄진 정보는 복호화 키가 없이는 알아볼 수 있는 형태로 해독이 불가하다. 이 경우 공격자가 정보를 탈취하더라도 추가 범죄에 악용하기 어렵고, 암호를 해독한다 해도 막대한 컴퓨팅 자원과 시간이 필요해 이득을 얻기 힘들다.

4월 30일 열린 국회 과학기술정보방송통신위원회(이하 과방위) 청문회에서 SKT 류정환 네트워크인프라센터장(부사장)은 “마케팅 쪽은 암호화가 거의 다 돼 있다고 보지만 네트워크 쪽은 암호화돼 있지 않은 부문이 많다”며 “데이터 인증을 할 때는 암호화를 하지만, 데이터로 저장된 상태에서는 암호화를 하지 않고 있다”고 말했다. 유심 데이터에 암호화가 이뤄지지 않은 사실을 인정한 것이다.

- 중간생략

보안 전문가들 역시 유심 복제는 이론적으로 가능하나, SKT에서 다양한 조치를 하고 있어 현실성은 낮다고 평가했다.

아주대 곽진 교수는 “유심 복제는 가능하나 FDS 등으로 통신 프로토콜에서 이상 징후를 감지하는 시스템으로 이에 대비하고 있다. 완벽히 복제한다 해도 2, 3차 피해로 이어지기 위해선 추가 정보가 많이 필요하기에 현실성은 낮다”고 설명했다.

전문가들은 이번 사건이 한 기업을 넘어 우리나라 사회 전반의 사이버보안 취약성을 드러냈다고 말하고 있다. 관련 투자 확대와 함께 현재 보안 수준을 돌아보고 책임 의식을 강화하는 계기로 삼아야 한다고 지적했다.

단기적으로는 고도화된 악성코드에 대한 대비가 필요하다. 문제는 새로운 공격 기법을 예측하고 그에 대한 대응 방안을 마련하는 일이 어렵다는 점이다. 가령 BPF도어처럼 정교하게 짜인 악성코드는 현재 안티바이러스나 엔드포인트 탐지 및 대응(EDR) 솔루션으로 탐지하는 데 한계가 있다.

전문가들은 차단보다 예방과 사후 대응에 초점을 맞추는 방향을 제안했다. 100% 완벽한 보안은 있을 수 없다는 점을 인식하고 위협에 대비하며, 사고 발생 시 빠른 대응으로 피해를 최소화해야 한다는 의견이다.

아주대 곽진 교수 역시 “교묘한 전략으로 공격을 숨기는 사례는 점점 증가하고 있다. 이러한 위협을 원천 차단하는 일은 어렵다”며 “특정 사례에 골몰하기보다 모든 가능성을 열어둔 채 조직 보안 체계 전반을 점검해야 하며, 피해가 일어나더라도 그 규모를 최소화하는 대응 전략을 미리 준비해야 한다”고 조언했다.

[관련출처: 컴퓨터월드]