SK텔레콤 유심 해킹 사태: 피해를 막기 위해 당장 해야 할 일들

 
 

2024년 4월 기준 SK텔레콤 가입자는 약 2,400만명입니다. 이번 유심(USIM) 해킹 사건으로 인해 피해를 입은 가입자 수는 정확히 공개되지 않았으나, 현재까지 약 23만 명이 유심을 교체한 것으로 알려져 있습니다. 이번 사건은 단순한 개인정보 유출을 넘어서, 유심을 통해 스마트폰에 담긴 각종 금융 정보까지 넘어갔다는 측면에서 매우 위험한 사건이라고 볼 수 있습니다. 그리고 SK텔레콤 통신망을 사용하는 알뜰폰 가입자 역시도 유심 해킹을 당했을 가능성이 매우 높아서, 앞으로 이 상황이 어떻게 전개될지 지켜봐야 할 것 같습니다. 

 
 

 
 
 

유심(USIM): 보이지 않는 열쇠

유심(USIM:Universal Subscriber Identity Module)은 통신사와 이용자 간 인증을 가능하게 하는 마이크로칩 형태의 모듈입니다. 해외여행을 갈 경우, 현재에서 유심을 구입해서 끼우는 경우들도 있는데요. 그래서 한번쯤은 들어보았을 이름입니다. 작은 유심칩을 통해 사용자의 고유 식별번호(IMSI), 전화번호, 통신 사업자 인증키 등이 저장되어 있으며, 기기가 통신망에 접속할 때 본인을 증명하는 역할을 하는데요. 유심에는 사용자의 신원, 네트워크 접근 권한, 일부 연락처/메시지 정보가 담긴 디지털 열쇠와 같습니다.
 
그리고 이번 SK텔레콤 해킹의 핵심 기법은 SIM Swapping(유심 스와핑)으로 공격자가 피해자의 개인정보를 확보한 후, 통신사에 접근해 피해자의 유심을 재발급 받거나 다른 기기에 장착하는 방식으로 해당 번호로 수신되는 모든 인증번호를 가로챌 수 있으며, 금융, 메신저, SNS 탈취가 가능해진다는 점에서 앞으로 그 피해양상과 규모를 지켜봐야 하는 상황입니다.
 
 

 
 

어떤 해킹인가? 핵심은 HSS해킹

이번 해킹 사태는 SK텔레콤의 핵심 서버 중 하나인 홈 가입자 서버(HSS)에 악성 코드를 심어 이동가입자식별번호(IMSI), 단말기 고유식별번호(IMEI), 유심 인증키(Ki) 등 민감한 정보를 탈취한 것으로 알려져 있습니다. 그리고 탈취한 정보를 바탕으로 피해자의 유심을 복제하거나, 통신사에 피해자를 사칭하여 유심 재발급을 요청하는 부분으로 확대가 된 것으로 파악되는데요. 그래서 유심 스와핑(SIM Swapping)이라는 보도되고 있기도 합니다.
 
일단은 홈 가입자 서버(HSS)는 4G(LTE) 및 5G 코어망에서 가입자 정보를 저장하고 관리하는 중앙 데이터베이스 시스템입니다. 그래서 현재 상황을 보면 단순히 유심을 복사해 간 수준을 넘어서, 통신사 내부 핵심 시스템에 접근해 가입자 정보를 통째로 빼간 정황이 드러나고 있는 상황인데요. 이는 심각한 수준을 넘어, 통신 인프라 전체의 신뢰 기반을 흔드는 보안 재앙급 사태라고 볼 수 있습니다.이는 가입자 복제와 통제'가 가능해졌다는 뜻으로, 단순히 고객 정보를 보는 것이 아니라, 가입자의 서비스 상태를 조작할 수 있는 권한을 갖게 된다는 의미입니다. 

 
 

<토스가 토스를 해킹해보는 컨텐츠 영상>

 
 
 
 

왜 SK텔레콤만? 상대적으로 쉬운 유심재발급

이번 SK텔레콤의 해킹 사건은 유심 재발급 구조의 허점에서도 찾아볼 수 있습니다. 그 동안 SK텔레콤은 웹이나 앱을 통해 유심 재발급 시 인증 절차가 비교적 단순하다는 지적을 받아왔는데요. 기존 단말기 인증 없이 유심 변경이 가능하다는 점, 기존 단말기가 꺼져 있을 경우, 별도의 확인 절차 없이 유심 변경도 허용이 가능했다고 합니다. 그리고 eSIM 등록 절차에 지연 승인이나 다중 인증이 없었다고 합니다. 마지막으로 KT나 LG유플러스와는 다르게 유심 변경 시 기존 단말기로 알림을 보내거나, 일정 인증 지연 시간이 있는 반면, SKT는 실시간 경고 체계가 상대적으로 느슨했다는 평가가 있기도 했습니다.
 
이번 사건을 통해 드러난 문제점이면, 단순한 인증 해킹이 아니라 한국 디지털 인증 구조 전체의 허점이라는 점입니다. 현재 대부분의 한국 온라인 서비스는 다음과 같은 구조에 의존하고 있다. 통신사 유심 기반의 인증으로 SMS(문자)로 2차 인증을 하는 방식으로로 은행, 메신저, 공공 서비스, 인증서 복구 등 대부분의 디지털 접근이 가능한 구조라는 점에서 만약 유심 탈취만 가능하다면, 모든 디지털 권한을 가져갈 수 있다는 점이 드러난 것입니다. 그래서 통신사의 보안 체계 하나가 무너지면 전방위적인 보안 위협으로 이어질 수밖에 없다는 것을 드러낸 사건이라고 할 수 있겠네요. 

참고로 현재 행정안전부 고시에 따르면 주민등록번호 및 여권번호, 계좌번호 및 카드번호 등 개인정보는 암호화 처리에 대한 명문 규정이 있다고 하는데요. 다만 유심 정보는 암호화를 의무화하는 규정이 없다는 이유로 SK텔레콤은 이를 암호화하지 않고 평문으로 저장하다 해킹으로 탈취당한 상황으로 밝혀졌습니다.

 
 

 
 
 

이번 사건이 드러낸 본질적 문제

이번 사건은 유심=신원이라는 생각에서 접근한 부분에서 변화가 필요합니다. 그래서 인증 문자를 통한 확인보다는 다양한 인증 방식을 보완해야 할 것입니다. 한국의 수많은 인증 시스템은 아직도 ‘문자 인증 = 본인 확인’이라는 90년대 패러다임에 머물러 있는 부분에서 개선이 시급해 보이는데요. 유심은 기기와 계정으로 나누어지는 것처럼 ‘이중 보안, 승인 장치 도입이 필요할 뿐만 아니라, eSIM은 사용자에겐 편리하지만, 해커들에게는 비대면 유심 교체 창구가 되는 빌미를 제공하고 있습니다. 그래서 eSIM 발급 시 특정 기기에만 적용되도록 하는 디바이스 바인딩과 지연 승인 제도화를 도입해야 할 것입니다. 
 
 

 
 
 
 

당장 해야하는 조치사항은?

빠른 유심교체가 가장 우선입니다. 그리고 통신사 이동을 하고, 스마트폰을 새로 구입하는 것도 방법이겠지만, 당장할 수 있는 방법은 우선은 통신사가 제공하는 유심 보호 서비스 즉시 가입입니다. 이 기능은 유심 교체를 SMS 승인 없이 못하게 잠금 거는 기능으로 통신사마다 현재 제공을 하고 있으니, 당장은 유심 보호 서비스를 가입하시는게 좋겠습니다. 그리고 통신사 고객센터 또는 사이버안전국 명의도용 방지서비스 사이트에 가서 체크를 해보는 것이 좋겠습니다. 혹시 본인의 명의로 알뜰폰, 다른 회선 개통했을 가능성에 대한 체크가 필요한 부분이기 때문입니다. 추가적으로는 주요 계정에서 SMS 인증 끄고, OTP, 생태인증으로 바꾸는 것을 추천드립니다. 가급적 SMS인증을 피하고, 특히 금융 관련 앱 등은 조치를 해두시는게 좋겠네요. 그리고 금융 피해를 막기 위해서, 카카오뱅크, 토스, 케이뱅크 등을 활용하셔서, 금융사기 예방을 위한 명의도용방지서비스, 여신거래 안심차단을 신청해두시는 것을 추천드립니다. 이용하는 인터넷뱅킹에서 한번만 신청을 하면, 모든 금융에 적용된다고 합니다. 물론 해지는 은행지점에서 해지가 가능하니, 참고해서 미리 조치를 해두시면 좋겠습니다. (명의도용방지서비스 주소, https://www.msafer.or.kr/index.do)
 
 

 
 

 위기관리의 최고의 방법은
빠르고, 바르게
진정성 있게