감염서버 5대·악성코드 8종 추가 확인 
유심정보 9.28GB 유출…SKT 가입자 모두 피해
통신기록 유출 로그기록 없어 확인 불가

지난달 24일 오전 서울 시내의 SK텔레콤 대리점 모습. 임세준 기자

[헤럴드경제=권제인 기자] SK텔레콤의 유심(USIM) 정보 해킹 사고로 총 28대의 서버가 악성코드 33종에 감염된 것으로 최종 확인됐다. 유출된 가입자식별번호(IMSI)는 약 2700만건으로, 사실상 모든 SKT 가입자가 해킹 공격의 피해를 입었다.

최초 악성코드가 심어진 것은 2021년 8월로 무려 4년간 해킹이 이뤄졌던 것으로 나타났다.

4일 과학기술정보통신부는 SKT 침해 사고 민관합동조사단의 조사결과 및 이용약관 상 위약금 면제 규정에 대한 검토결과를 발표했다.

과기정통부는 SKT 유심정보 유출을 중대한 침해사고로 판단하고 4월 23일 민관합동 조사단을 구성해 피해현황, 사고원인을 조사했다. 조사단은 지난달 27일까지 SKT의 전체 서버 4만2605대를 대상으로 BPF도어(BPFDoor)와 타 악성코드 감염여부에 대해 조사를 진행했다. 감염 서버에 대해선 포렌식 등 정밀분석을 통해 정보 유출 등 피해발생 여부를 파악했다.

류재명 과학기술정보통신부 2차관이 30일 정부세종청사 과학기술정보통신부 기자실에서 출입기자단과 간담회를 하고 있다. [과학기술정보통신부 제공]

조사단은 공격받은 총 28대 서버를 포렌식 분석한 결과 악성코드 33종을 최종적으로 확인했다고 밝혔다. 악성코드는 BPF도어 27종과 타이니쉘 3종, 웹쉘 1종, 오픈소스 악성코드 2종(크로스C2·슬리버)으로 조사됐다. 지난 5월 2차 조사결과와 비교하면 감염 서버는 5대 늘어났고, 악성코드는 8종이 추가 확인됐다.

유출된 정보는 전화번호, IMSI 등 유심정보 25종으로 유출 규모가 9.28GB에 달했다. IMSI 기준 약 2696만건이 유출돼 사실상 모든 SKT 가입자가 해킹 공격의 피해를 입었다. IMSI는 유심 내 저장돼 통신사가 가입자 식별 시 사용한다.

통신기록(CDR)과 단말기식별번호(IMEI)는 로그 기록이 남아있지 않아 유출 여부를 확인할 수 없었다. 통신기록은 통화 시간, 수발신자 전화번호 등 통신 활동 관련 정보를 담고 있으며, IMEI는 휴대전화 기기 식별에 사용되는 정보다.

통신기록을 평문으로 임시 저장된 서버 1대는 정밀 분석 결과 방화벽 로그 기록이 남아있는 2024년 12월 9일부터 지난 4월 20일에 대해선 자료 유출 정황이 없는 것으로 확인됐다. 그러나 악성코드 감염 시점부터 로그 기록이 없는 2023년 1월 31일부터 2024년 12월 8일에 대해선 유출 여부를 확인하지 못했다.

단말기식별번호(IMEI)와 이름 등 개인정보가 평문으로 임시 저장된 서버 2대 역시 방화벽 로그 기록이 남아있는 2024년 12월 3일부터 지난 4월 24일 기간 자료가 유출되지 않았다. 기록이 없는 2022년 6월 15일부터 2024년 12월 2일까지의 유출 여부는 확인하지 못했다.

조사단은 확인된 악성코드 정보는 피해확산 방지를 위해 백신사, 경찰청, 국정원 등 주요 민간·공공기관에 공유했다고 밝혔다. 또한, 악성코드 점검 가이드를 보호나라 누리집을 통해 배포해 지난달 30일 기준 12만9000건 조회됐다.

SK텔레콤 을지로 사옥 모습. [SK텔레콤 제공]

이와함께 최초 악성코드가 심어진 것은 4년 전으로 드러났다. 공격자는 외부 인터넷 연결 접점이 있는 시스템 관리망 내 서버A에 접속했다. 이후 타 서버에 침투하기 위해 원격제어, 백도어 기능 등이 포함된 악성코드(CrossC2)를 2021년 8월 6일에 설치했다.

당시 서버A에는 시스템 관리망 내 서버들의 계정 정보(ID, 비밀번호 등)가 평문으로 저장돼 있었다. 공격자는 동 계정정보를 활용해 시스템 관리망 내 타 서버(B)에 접속한 것으로 추정된다고 조사단은 설명했다.

이어 공격자는 시스템 관리망을 통해 고객 관리망 내 서버에 접속한 것으로 추정되며, 서버 접속 후 2022년 6월 15일, 6월 22일에 악성코드(웹쉘, BPFDoor)를 설치했다.

공격자는 초기 침투과정에서 확보한 계정 정보를 활용해 2023년 11월~지난해 4월까지 시스템 관리망 내 여러 서버에 추가로 악성코드를 설치했다.

이후 공격자는 지난 4월 18일 HSS 3개 서버에 저장된 유심정보(9.82GB)를 시스템 관리망 내 외부 인터넷 연결 접점이 있는 서버 C를 거쳐 유출한 것으로 나타났다.

Copyright © 헤럴드경제. 무단전재 및 재배포 금지.