⁠⁠⁠⁠⁠⁠⁠

가입자 유심(USIM) 정보를 탈취당한 SK텔레콤이 유심 무료교체 서비스를 시작한 지난 4월 28일 서울 시내 한 SKT 대리점에서 시민들이 유심 교체를 위해 줄을 서 차례를 기다리고 있다. [연합]

[헤럴드경제=고재우 기자] 민관합동조사단이 SK텔레콤 유심 해킹사태 관련 조사를 진행한 결과, SKT 정보보호 체계에서 총체적인 부실이 드러났다. 특히 유심 정보 유출, 정보통신망법 위반 및 침해사고 대응 등에서 부실이 잇달아 확인되면서 ‘예고된 참사’였다는 지적이 나온다.

과학기술정보통신부(과기정통부)는 4일 정부 서울청사에서 이 같은 내용이 담긴 ‘SKT 침해사고 최종 조사 결과’를 발표했다.

최태원 SK그룹 회장이 지난 5월 7일 서울 중구 SK텔레콤 T타워에서 열린 유심 정보 유출 관련 일일 브리핑에 참석, 정보 유출과 관련해 고개 숙여 대국민 사과를 하고 있다. [연합]

▶‘예고된 참사’ 유심 정보 유출 이유 있었다= 우선 유심 정보 유출과 관련해서는 ▷계정정보 관리 부실 ▷과거 침해사고 대응 미흡 ▷주요 정보 암호화 조치 미흡 등 ‘세 가지’ 문제점을 지적했다.

먼저 SKT는 정보보호관리체계(ISMS)를 따르지 않은 채, 홈가입자서버(HSS) 관리 서버 계정정보를 타 서버에 평문으로 저장했다. 해커는 해당 계정정보를 활용해 HSS 관리 서버 및 HSS를 감염시켰다. HSS 관리 서버는 이번 침해사고에서야 확인됐다.

과거 침해사고에서 대응도 미흡했다. SKT는 지난 2022년 2월 23일 특정 서버에서 비정상 재부팅 발생을 확인했으나, 정보통신망법에 따른 신고 의무를 제대로 이행하지 않았다.

또 SKT는 뒤늦게 감염이 확인된 HSS 관리 서버에서 비정상 로그인 시도를 파악했음에도 해커가 서버에 접속한 기록을 놓쳤다. 이는 HSS 관리 서버 및 정보 유출이 발생한 HSS에서 BPF도어(BPFDoor) 악성코드를 확인하지 못하는 결과로 이어졌다.

아울러 주요 정보 암호화 조치에도 구멍이 뚫렸었다. SKT 유심 인증 키(Ki) 값을 암호화하지 않고 저장했다.

이에 과기정통부는 ▷서버 등 비밀번호 기록 및 저장 제한 및 암호화 저장 ▷침해사고 발생 시 신고 의무 준수 ▷주요 정보 암호화 저장 등 마련을 제시했다.

유영상 SK텔레콤 대표이사가 지난 4월 30일 국회 과학기술정보방송통신위원회의에서 열린 방송통신 분야 청문회에서 유심 해킹 사태와 관련한 질의에 답하고 있다. [연합]

▶SKT, 침해사고 대응 과정 등 ‘총체적 난국’= 이와 함께 과기정통부는 SKT가 침해사고 대응 과정에서 정보통신망법을 위반했고, 침해사고 대응도 체계적으로 이뤄지지 않았다고 꼬집었다.

정보통신망법은 침해사고를 인지한 후 24시간 내 과기정통부 혹은 KISA에 신고해야 하지만, SKT 신고는 제때 이뤄지지 않았다. 심지어 악성코드(타이니쉘 2종)에 감염된 서버를 발견했을 때도 침해사고 신고는 없었다.

더욱이 과기정통부가 SKT 침해사고 원인 분석을 위해 내린 자료 보전 명령에도 불구하고, SKT는 서버 두 대를 포렌식 분석이 불가능한 상태로 임의 조치 후 조사단에 제출했다.

보안 및 기본적인 정보보호 활동도 미흡했다. SKT가 자체 규정에 따라 진행 중인 연 1회 이상 서버 보안점검 대상에 웹쉘은 포함되지 않았다. 협력업체로부터 공급받은 SW에 대한 검토 없이 내부 서버 88대에 설치해 악성코드가 유입됐고, IT와 네트워크 영역으로 구분된 보안 업무에서 정보보호최고책임자(CISO)는 IT 영역만 담당했다.

타사 대비 정보 보호 인력은 가입자 100만명당 15명, SK브로드밴드를 포함한 투자액은 37억9000만원으로 통신사 평균 대비 규모가 가장 작았다.

과기정통부는 정보통신망법 위반에 따른 과태료 부과 및 수사기관 의뢰와 함께 ▷보안 설루션 도입 확대 ▷공급망 보안체계 구축 ▷CEO 직속 조직으로 CISO 역할 강화 ▷정보보호 인력 및 예산 타 통신사 이상 수준으로 확대 등을 제언했다.

Copyright © 헤럴드경제. 무단전재 및 재배포 금지.