SK텔레콤 서버 해킹이 애초 발표됐던 것보다 더 광범하게 이뤄졌던 것으로 확인됐다. 단말기 고유식별번호(IMEI)를 관리하는 서버도 공격을 받았고 개인정보 유출 여부는 확인되지 않았다고 SK텔레콤 침해사고 민관 합동조사단이 1차 발표 때 태도를 바꿨기 때문이다.

최우혁 과학기술정보통신부 정보보호네트워크정책관이 19일 서울 종로구 정부서울청사에서 SKT 침해사고 관련 민관합동 조사결과 2차 발표 브리핑을 하고 있다. 연합뉴스

SK텔레콤 침해사고 민관 합동조사단은 지난달 29일 1차 조사 결과 발표에 이어 2차 중간 조사 결과를 19일 발표했다. 민관 합동조사단은 19일 오전 정부서울청사에서 합동 브리핑을 열어 총 23대의 서버 감염을 확인했고 15대에 대한 포렌식 등 정밀 분석을 완료했다. 나머지 8대에 대한 분석을 진행 중인데 현재까지 악성코드는 25종(BPFDoor계열 24종, 웹셸 1종)을 발견했다고 밝혔다. BPFDoor라는 악성코드는 주로 중국계 해커 그룹이 주로 사용하는 수법이다.

조사단은 현재까지 SK텔레콤의 리눅스 서버 3만여 대에 대해 네 차례에 걸쳐 점검했다. 조사단은 1차 조사 결과에서 발표한, 유출된 유심 정보의 규모가 9.82GB였고 가입자 식별키(IMSI) 기준 2695만7749건이라고 확인했다.

조사단은 1차 조사 결과에서 악성 코드에 감염된 서버 5대 중 홈 가입자 서버(HSS) 3대에서 가입자 식별번호(IMSI), 인증키 등 유심 정보 4종을 포함한 25종의 정보 유출을 확인했는데 이번 2차 조사에서는 감염 서버를 18대 더 발견했다.

19일까지 감염이 확인된 총 23대 가운데 현재까지 15대는 정밀 분석(포렌식, 로그 분석)을 완료했고 이달 말까지 8대 분석을 마칠 예정이다. 분석이 완료된 15대 가운데 개인정보 등을 저장하는 2대를 확인하고 지난 18일까지 2차에 걸쳐 자료 유출 여부에 대해 추가적인 조사를 했다.

해당 서버는 통합고객인증 서버와 연동되는 서버들로서, 고객 인증을 목적으로 호출된 단말기 고유식별번호(IMEI)와 다수의 개인정보(이름, 생년월일, 전화번호, 이메일 등)가 있었다.

조사단은 조사 초기 IMEI가 저장된 38대 서버의 악성코드 여부를 집중적으로 점검해 감염되지 않음을 확인하고 1차 조사 결과를 발표한 바 있지만 악성코드가 감염된 서버들에 대한 정밀 포렌식 분석 중 연동 서버에 일정 기간 임시로 저장되는 파일 안에 IMEI 등이 포함되고 있음을 확인하게 됐다고 설명했다.

조사단은 해당 서버의 저장된 파일에 총 29만1831건 IMEI가 포함된 사실을 확인했다. 방화벽 로그기록이 남아있는 기간(지난해 12월 3일부터 지난달 24일까지)에는 자료 유출이 없었다. 최초 악성코드가 설치된 시점부터 로그기록이 남아있지 않은 기간(2022년 6월 15일부터 지난해 12월 2일)의 자료 유출 여부가 현재까지는 확인되지 않았다.

조사단은 1차 조사 결과 발표에서 공격받은 정황이 있는 5대 서버 조사했고 USIM 정보(전화번호, IMSI 등) 등 25종이 유출됐다고 밝힌 바 있다. BPFDoor 계열 악성코드 4종을 발견했으며 단말기 고유식별번호(IMEI) 유출은 없었다고 밝힌 바 있다.

하지만 2차 조사 결과 발표에서 IMEI가 공격을 받았고 유출 여부에 관해 확인할 수 없다고 밝힘에 따라 향후 해킹 사고에 대한 국민적 불안감은 커질 전망이다. 해커들이 IMEI를 알아냈다면 유심 보호 서비스도 무력화할 수 있기 때문이다. 유심 보호 서비스는 IMEI가 다른 복제 유심으로 전화를 걸거나 인증을 하면 이를 막아내는 서비스다. 해커들이 IMEI를 갖고 있으면 복제 유심으로 개인 인증도 가능하기 때문이다.