내폰과 똑같은 쌍둥이폰 만든다? 사실은…SKT 해킹사건 팩트체크 해보니

[서울=뉴시스] 박은비 기자 = SK텔레콤 유심정보 유출 사고 이후 가입자들의 불안과 혼란이 가중되고 있다.

가입자 휴대폰과 똑같은 복제폰(일명 쌍둥이폰)을 만들어 각종 금융 거래나 사기 등에 악용될 수 있다는 소문까지 나돌면서 SK텔레콤 유심 교체 첫날 주요 대리점마다 긴 줄을 늘어서거나 물량이 불량이 교체를 못하고 돌아서는 일이 곳곳에서 벌어졌다. SK텔레콤의 유심보호 서비스 가입 사이트는 몰려든 이용자들 탓에 예약제로 전환되기까지 했다.

전문가들은 이번 사태를 어떻게 보고 있을까. 김용대 카이스트 전기전자공학부 교수, 김승주 고려대 정보보호대학원 교수 등 통신·보안 전문가와 과학기술정보통신부 민관합동조사단의 설명을 종합 정리해봤다.

-유심(USIM)이 뭔지 설명해달라.

"유심은 가입자를 식별하고 인증해 이동통신 서비스를 이용할 수 있게 하는 범용가입자식별모듈이다. 사용자 전화번호, 가입자 식별번호 등을 저장해 기기를 인증하거나 네트워크를 연결할 때 필요하다. 이름, 주민번호, 주소 등 개인정보는 포함되지 않는다. 유심에는 가입자를 식별하고 인증하기 위한 정보, 가입자가 직접 저장한 정보로 나뉜다. 먼저 가입자를 식별하고 인증하기 위한 정보에는 가입자식별번호(IMSI), 가입자 인증키 등 유심을 개통하거나 인증할 때 필요한 정보로 망과 연동된다. 후자는 모바일 티머니나 인증서 등 사용자가 유심에 저장한 정보로 망과 연동되지 않는다. 이번 유출 사고와 관련 없는 정보에 해당된다.

-SK텔레콤 가입자다. 빠져나간 정보로 내 폰과 똑같은 복제폰을 만들 수 있다던데.

"현재로서는 불가능하다. 정부 민관합동조사단 조사 결과, 이번 사고로 가입자 전화번호, IMSI 등 유심 복제에 활용될 수 있는 4종과 유심 정보 처리에 필요한 SKT 관리용 정보 21종이 유출됐지만 단말기고유식별번호(IMEI)는 빠져나가지 않은 것으로 확인됐다. 가입자 스마트폰이 SK텔레콤 망에 접속할 때 통신사는 유심에서 보낸 IMSI를 통신사 홈가입자서버(HSS)에 저장된 값과 일치하는지 본다. 가입자 기기에서 전송된 IMEI는 이통사단말기인증시스템(EIR)에 저장된 값과 일치하는 지 확인한다. 특정 단말기를 쓰는 특정 가입자를 확인해서 과금하는 원리다.

그런데 가입자의 IMEI 정보를 빠져나가지 않았다면 해커는 IMSI 정보를 갖고 있어도 가입자의 IMEI 정보를 모르기 때문에 가입자를 특정해 복제폰을 만드는 건 불가능하다. 최악의 상황은 피한 셈이다. 유심칩을 복제할 가능성이 없지 않지만 가입자가 통신사의 유심보호 서비스에 가입한 경우라면 복제한 유심칩은 무용지물이 된다.

-유심 재고 물량이 없어 난리다. 유심 교체 꼭 해야 하나.

"유심을 교체하는 게 이번 정보 유출 사고의 2차 피해 가능성을 없애는 근원적인 대응 방법이다. 그렇다고 급하게 서두를 필요까지 없다. 해커가 유심을 복제했다 해도 몰래 쓰는 건 쉽지 않다. 이동통신표준에 따르면 같은 유심을 보유한 사용자 2명이 동시에 접속할 수 없다. 한 명이 접속되면 한 명이 차단된다. 그러면 서로 접속하려는 경쟁 상황이 되는데 통신사 입장에서는 이게 이상한 현상으로 감지된다. 원래는 단말기가 한 대만 있어야 하는 게 정상이니까. 이걸 비정상인증시도 차단(FDS) 시스템으로 차단한다. 이 시스템은 2~3년 전부터 설치돼 잘 운영되고 있는 것으로 보인다."

-FDS로 충분하다면 왜 유심 보호 서비스를 꼭 가입하라고 하나.

"FDS가 잘 작동하고 있더라도 이런 경우가 있을 수 있다. 가입자 휴대폰 배터리가 나가거나 자기 전에 끄고 자는 상황. 이렇게 되면 복제폰이 망에 접속할 수 있게 되고 FDS가 탐지하기 어렵다. 그래서 유심 보호 서비스에 가입해야 한다. 유심 보호 서비스는 나는 기기 변경을 안 하겠다고 통신사한테 알려주는 것이다. 아무리 다른 단말기가 접속하겠다고 요청해도 단말기 보유자가 기기 변경을 안 한다고 선언했으니까 그외 요청은 받아들이지 않는 방식이다. IMEI가 바뀌는 순간에 이를 탐지해 다 차단하는데, 정부 1차 조사 결과 SK텔레콤 유출 정보 중에서 단말기 IMEI는 없었던 것으로 확인됐다. 해커가 틀린 IMEI를 사용할 수 밖에 없어 유심 보호 서비스로 걸러진다는 의미다."

- 유심 보호 서비스에 가입하려고 해도 예약 대기하라고 한다. 불안하다.

"유심 보호 서비스에 일단 예약 신청을 하면 된다. 과기정통부가 SK텔레콤과 협의해 가입자가 예약신청을 완료하는 시점부터 서비스에 가입된 것과 동일하게 100% 사업자가 모든 책임을 질 수 있도록 협의했고, 즉시 시행하도록 했다."

-이번 주 해외에 출국해야 한다. 유심 보호 서비스와 동시에 가입이 안 되는데 어떻게 해야 하나.

"현재로서는 유심 보호 서비스를 로밍 요금제와 동시에 이용할 수 없는 게 맞다. 해외 망을 이용할 때 부정 개통 탐지 모니터링이 원활하지 않기 때문이다. 다만 SK텔레콤이 다음달 중 시스템을 개선해서 로밍을 같이 쓸 수 있게 하려고 작업 중이다. 그 이전에 출국한다면 데이터 전용 이심을 사용하는 방법이 있다. 유심 보호 서비스를 켜놓고 데이터 전용 이심을 쓰면 데이터만 이심으로 넘기면 되기 때문에 이렇게 하면 해결이 된다."

-SK텔레콤 해킹 사건 이후 주요 기업들도 직원들한테 유심을 교체하라고 지시했는데.

"앞서 말했듯 유심 보호 서비스가 기기 변경을 막아 문자 인증 우회 등을 차단해준다. 유심 재고가 부족한 상황인데 유심 변경 전까지 유심 보호 서비스 이용으로도 충분하다고 본다. 유심 보호 서비스에 가입하지 않은 이용자들이 아직 꽤 있는 것 같은데 이런 경우는 조심스럽긴 하다."

-그래도 불안하다. 혹시 내 유심이 누군가에 의해 복제된다면 어떤 증상이 발생하나.

"휴대폰이 켜진 상태면 휴대폰 네트워크가 끊어진다. 폰 화면 상단에 LTE나 5G 표시가 뜨는데 그게 사라진다는 말이다. 이렇게 되면 인터넷도 사용할 수 없다. 이런 경우 바로 SK텔레콤에 신고하면 된다."

-금융 거래를 할 때 문자 인증을 피하라는 조언을 들었다.

"사실이 아니다. 문자 인증이 우회된다는 건 누군가 내 폰을 들고 있다는 말이 된다. 그런데 앞서 FDS와 유심 보호 서비스와 복제폰이 동시에 연결이 안 된다고 설명한 바 있다. 또 하나 말하자면 지난 2022년에 유심 복제로 가상자산이 유출된 적이 있다. 이후 가상자산 거래소 등이 2차 인증을 구현해놓은 상태다."

-SK텔레콤이 개발 중인 '유심포맷'은 믿을만 한가.
"SK텔레콤이 현재 개발 중인 유심포맷은 유심 교체 없이 가입자가 기존에 보유한 유심정보를 초기화해 물리적으로 교체하는 것과 같은 효과를 낸다. 하지만 유심포맷도 매장을 방문해 관련 시스템 매칭 작업을 거쳐야 한다. SK텔레콤은 다음달 중순 유심포맷을 선보인다고 밝혔다."

-유심 비밀번호 설정하면 도움이 되나.
"유심 비밀번호는 유심에 비밀번호를 걸어두는 기능으로 유심을 도난당하거나 물리적으로 탈취당했을 때 다른 사람이 쓰지 못하도록 하는 보안 기능이다. 이번 사고와는 직접적인 관련이 없다."

-패스(PASS) 애플리케이션(앱) 명의도용 방지 서비스를 설치하면 유심 보호 서비스에 가입 안 해도 될까.
"패스 앱 명의도용 방지 서비스는 유심 보호 서비스와 관련이 없다. 명의도용 방지 서비스는 범죄자가 탈취한 개인정보를 활용해 핸드폰 개통하는 걸 막는다. 유심정보를 악용한 범죄를 차단하는 유심 보호 서비스와는 다르다."

-부산 SK텔레콤 가입자가 휴대폰 계약이 해지되고 본인 명의로 KT 알뜰폰이 새로 개통, 은행 계좌에서 5000만원이 인출된 사례가 있다.

"경찰 조사 결과 이번 해킹 사고와 직접적인 관련이 없는 스미싱 공격으로 밝혀졌다. 아직 사실관계가 충분히 확인되지 않은 상황에서 대규모 개인정보 유출, 복제폰을 통한 금융 피해 등 극단적인 시나리오가 앞다퉈 제기된 감이 없지 않아 있다. 위기 상황에서도 차분하고 이성적인 판단이 필수다.

이번 일로 유심복제에 활용할 수 있는 정보가 나간 건 사실이지만, 함께 조합돼야 할 주민번호, 주소 등 개인정보가 유출됐을 가능성은 낮다는 게 중론이다. 물론 최종 조사 결과가 나온 건 아니다.

-고(故) 김정주 전 넥슨 창업주가 유심 복제로 85억원 해킹당한 사건이 존재하지 않나.

"생전에 김 전 창업주는 비트코인을 다수 구입한 사실을 언급한 게 있어서 쉽게 해커들의 타깃이 됐을 수 있다. 그렇다고 유심 정보만으로는 가상자산을 빼돌리긴 어렵고 기존에 유출된 개인정보와 합쳐 이뤄진 범행으로 알고 있다. 다만 통신사에 관제센터가 있고 한 번 해킹 시도가 있으면 그만큼 강화된 대비를 할 수 밖에 없지 않나. 거물급이 아닌 이상 일반인을 타깃으로 해커가 무모한 시도를 하긴 어렵다고 본다."

-유심을 교체할 때 교통카드 잔액은 어떻게 되나.

"티머니 등 선불 교통카드 잔액은 사용하는 해당 애플리케이션(앱)에서 환불 신청한 뒤 유심을 바꿔야 한다. 그렇지 않으면 고객센터에 이전 유심을 인증을 한 뒤 환불을 받는 번거로운 절차를 거쳐야 한다. 후불 교통카드를 사용할 경우 교체 이후 교통카드 재등록만 하면 된다."


◎공감언론 뉴시스 [email protected]