SKT "IMEI 유출 없어"…정부 "개인정보 관리 서버 감염됐다"

전문가 "최악의 상황 대비해야 한다"
IMSI·IMEI 동시 유출 땐 '복제폰' 위험
SKT "FDS 고도화·유심 교체로 대비할 것"

▲엿새간 이어지는 징검다리 황금연휴가 시작된 1일 인천 중구 인천국제공항 제1여객터미널에 마련된 SK텔레콤 유심교체서비스 임시창구에 출국 전 유심을 교체하려는 승객들이 줄을 서 있다. 신태현 기자 holjjak@

SK텔레콤 해킹 사고와 관련해 29만 건의 단말기 고유식별번호(IMEI)의 유출 가능성에 대한 시각차가 벌어지고 있다. SKT 측은 해당 정보가 유출되지 않았다고 주장하지만, 정부 민관합동조사단은 해당 정보를 임시 보관한 서버가 악성코드에 감염됐다고 발표해 논란이 가중되고 있다. 전문가들은 IMEI와 모바일 가입자 식별번호(IMSI)가 동시에 유출될 경우, 복제폰 생성 등 치명적인 2차 피해가 우려된다며 보안조치 강화를 촉구했다.

20일 SKT는 서울 중구 삼화타워에서 침해사고 관련 브리핑을 열고 “약 29만 건의 IMEI는 유출되지 않았다”고 선을 그었다. 류정환 네트워크인프라센터장은 “유출되지 않은 고객이기 때문에 (선제적 유심 교체나 재설정) 계획도 없다”고 밝혔다.

전날 민관합동조사단은 IMEI 및 개인정보를 임시 관리한 서버 2대가 악성코드에 감염됐다고 발표한 바 있다. 최우혁 과기정통부 정보보호네트워크정책관은 “해당 서버는 고객인증용으로 호출된 IMEI와 이름, 생년월일, 전화번호 등 다수의 개인정보가 저장돼 있었다”고 설명했다.

IMEI와 IMSI가 동시에 유출되면, 유심을 복제해 다른 스마트폰에 꽂아 불법적인 행위를 하는 '심 스와핑'을 통한 불법 복제 휴대전화 생성 등의 피해로 이어질 수 있다.

박춘식 아주대 사이버보안학과 교수는 "IMSI 등 유심 정보와 IMEI가 같이 유출될 경우 심 스와핑 가능성이 있다"고 말했다. 이어 그는 "심스와핑이 어렵다는 건, 다른 개인정보가 유출되지 않았을 거란 전제 아래에서 가능한 말"이라며 "이번 2차 조사에서는 이름, 생년월일, 전화번호 등이 유출됐을 가능성이 있다고 정부가 발표하지 않았느냐"고 했다.

IMEI 유출 여부에 대해선 전문가들 사이에서도 시각차가 존재한다. 박 교수는박 교수는 "상황적으로, 서버가 감염될 경우 (안에 있던 정보가) 유출될 가능성이 높다"고 했다. 염흥렬 순천향대 정보보호학과 명예교수는 "(정부와 SKT의) 양쪽 주장의 팩트를 확인할 수 없다"며 "그 이유는 해킹이 된 게 2022년 6월인데, 2024년 12월까지의 로그 분석 데이터가 없어졌다. 이걸 확인할 수 있는 방법이 없다"고 했다.

SKT는 피해 대응책으로 비정상 인증차단 시스템(FDS)을 고도화해 불법 복제 핸드폰까지 차단하는 솔루션을 통신망에 적용했다고 했다. FDS 2.0은 고객 유심의 다양한 고유 특성 정보와 단말 정보를 복합적으로 배합해 검토하는 다중인증 방식이다. ‘불법 복제 핸드폰’ 접속 시도 시에도 통신망 접근을 차단할 수 있다.

이에 대해 박 교수는 "SKT가 FDS를 고도화했다고 하는데, 이게 어느 정도의 이상징후를 탐지할 수 있는지를 봐야 한다"며 "이용자 패턴, 장소 등을 정밀하게 분석할 수 있을 정도가 돼야 한다"고 지적했다.

염 교수는 "모든 단말기에 있는 유심을 교체하거나 재설정하는 것이 가장 바람직한 방향"이라며 "항상 최악의 경우를 고려하고 준비해야 한다. 유심보호서비스의 유용성을 보완하는 FDS 고도화도 필요하다"고 제언했다.

한편 SKT는 매장 방문이 어려운 지역을 위한 ‘찾아가는 유심교체 서비스’를 시작했다. 춘천, 창녕, 통영, 신안, 태안 등에서 1270건의 유심을 교체했다. 이날 기준 누적 유심 교체 고객은 252만 명이다. 잔여 예약자는 633만 명이다.

19일 하루 동안 유심을 교체한 이용자 수는 33만 명으로, 최근 한 달간 가장 많은 교체 건수를 기록했다.

용어설명-IMEI·IMSI

IMEI는 사용자가 가진 휴대폰 한 대 한 대를 식별하는 15자리 고유번호다. 주로 단말기의 제조사, 모델, 생산 일련번호 등으로 구성됐다.

IMSI는 통신망에서 가입자를 인증하거나 식별할 때 사용되는 숫자 코드다. 주로 휴대폰의 유심(USIM) 또는 이심(eSIM)에 저장돼 있다.