우리 계좌랑 코인 그리고 SNS가 통째로 털릴 수 있습니다. SKT가 유심 정보 유출로 날리지 않습니까?

가장 무서운 것은 저는 개인적으로 심서핑입니다.

심서핑은 쉽게 말해서 우리 집 열쇠를 복제해서 집주인 행세를 할 수 있는 건데 우리 인증을 가로채서 계좌에 로그인하고 돈을 인출할 수도 있습니다.

우리는 지금 거의 대부분 디지털 인증을 사용을 하고 있으니까요.

실제로 2019년 트위터 창업자인 IT 분야의 최강의자 잭 도시조차 심 스와핑에 당해서 트위터 계정을 해킹당해 난리 난 적 있었죠.

일반인 우리는 뭐 오죽하겠습니까? 문제는 유심을 바꾼다고 해도 이 리스크는 사라지지 않는다는 겁니다.

국가 재난급의 SK 유출 사태가 공지된 날짜는 4월 22일이었어요.

그런데 SKT가 이 문제를 인지한 것은 4월 18일 오후 6시 9분이었습니다.

당시 SKT는 사내 시스템 데이터가 을도치 않게 움직였다는 사실을 최초로 인지했고 같은 날 오후 11시 30분 악성 코드를 발견했습니다.

그리고 다음 날 오후 11시 40분에 악성 코드로 인해서 유심 데이터가 유출됐다는 사실을 알게 되었습니다.

SKT는 해킹 사실을 처음 인지한 날로부터 이틀이나 지난 4월 20일 16시 46분 과기부에 피해 사실을 신고했습니다.

24시간 내에 해킹을 보고해야 되는데 이 규정을 위반한 거예요. 그리고 이틀이나 지난 다음에 과기부에 신고하고 이틀이나 지난 다음에 고객들한테 홈페이지로 공지를 했습니다.

문자도 안 보냈어요. 제가 SK 쓰는데 못 받았어요.

과기부는 4월 22일 오전 10시에 발표된 보도 자료를 통해서 현재 사고 원인 조사를 추진 중이라고 밝혔는데요.

현재 공식적으로 과기부는 시정 명령을 통해서 SKT의 기술적 관리적 보안 문제점에 대해서 개선하도록 하겠다고 했는데, 아, 시정 명령이라 미국의 최대 통신사 중 한 곳인 T모바일은 2021년 8천만 건의 개인 정보 유출로 인해 3억 5천만 달러의 합의금 및 보상금을 냈고 그 외에도 1억 5천만 달러를 보완에 투자했습니다.

어, 참고로 모바일은 보상금은 내겠지만 우리 잘못은 아니야, 이렇게 선을 그었거든요.

법적으로 자신들의 잘못이 아닐 가능성이 있다는 여지를 남겨 둔 거예요.

그럼에도 불구하고 거의 한화로 7,000억 원에 달하는 돈을 지출을 해야만 했습니다.

만약에 미국에서 SKT 사태처럼 거의 명확하게 보안 부실과 더불어 해킹 보고 규정까지 어긴 것이 밝혀졌다면 7,000억이 아니라 조 단위의 돈이 지출돼야 하겠지만 늘 그래왔듯이 통신사의 시정 명령으로 아마 그치게 될 것으로 전망이 됩니다.

그럼 이게 왜 그렇게 위험한 이슈인가?

유심 정보는 다들 아시다시피 핸드폰 사용자가 누구인지를 담고 있는 정보인데 가입자 식별 번호인 IMSI, 단말기 고유 번호인 IMEI 그리고 유심 인증키 같은 데이터들을 말합니다.

그런데 유심 정보가 유출됐다는 것은 단순히 개인 정보 유출을 넘어서 통신 안전망에 싹 돌려서 해커들한테 고속도로를 뚫어줬다는 의미예요.

어느 날 갑자기 핸드폰이 먹통되고 수백만 원에서 한 수천만 원 돈이 도난 당할 수도 있습니다.

실제로 2022년 국내에서 SIM 스와핑 사례로 40건이 접수된 적이 있었거든요.

그때 피해자분들은 갑자기 폰이 먹통이 딱 되고 돈을 털렸습니다.

실제로 SKT 측에서도 이 가능성을 완전 부정하지는 않았거든요.

저는 통신사 사장님이랑 임원 분들이 나와서 죄송합니다, 하면 사과하는 것을 처음 본 거 같아요.

그 정도로 위험한 상황이에요. 실제로 SKT는 프로드 디텍션 시스템, 줄여서 이걸 FDS라고 하는데, FDS를 강화해서 막고 있다고 밝혔습니다.

FDS는 고객의 거래 내역이나 정보, 그리고 거래 패턴 등을 분석해서 의심된 이상 거래를 탐지하고 차단을 하는 기술인데, SKT 내부에서도 금융 위협에 대해서 인지하고 있다는 것을 보여주는 부분이죠.

특히 저희 같은 유튜버들은 주요 핸드폰에 유튜브 스튜디오라 앱을 깔아서 영상을 관리를 하고 그러거든요.

야, 그래서요. 핸드폰이 우리한테는 질문서예요.

즉, SK 해킹 사태는 단순히 개인 정보 몇 건이 아니라 은행 금고 열쇠를 도둑맞은 것과 비슷합니다.

현재까지 확인된 바로 이번 해킹으로 직접적인 금전 피해가 아직까지는 공식 보고되진 않았지만 중국 해커들이 뭔 짓을 할지 아무도 모르는 일이죠.

다른 통신사로 갈아타면 되겠다라고 생각할 수 있습니다.

사실 근데 이게 또 자가 누천해요.

유플러스는 이미 2023년 30만의 개인 정보 유출이 된 전적이 있고요.

어, 그때 사상 최대 과징금인 68억 원에 맞은 적이 있습니다.

참고로 이때도 다크웹의 유심 고유 정보를 비롯해서 이름, 주소, 생년 등 26개 항목이 총 30만 건 정도 유출이 됐었어요.

그리고 유플러스는 아시다시피 일부 지역의 화웨이 장비를 사용하고 있다는 점에서 국민분들의 걱정이 크죠.

솔직히 저는 근데 그 이공계 전공자로서 또 이제 기술을 믿는 사람으로서 화웨이 장비 자체가 기술적으로 현업자분들의 말씀을 들어봐도 화웨이가 이제 해킹에 악하다거나 하는 문제는 기술적으론 없어요.

하지만 중국은 이미 한 8년 동안 유플러스 통하기로 그냥 3TB를 가져간 적이 있죠.

유플러스는 이게 화웨이 장비 때문이라고 말했지만 아직 명확한 증거는 나온 게 없습니다.

KT는 2014년 가입자 1,600만 명의 개인 정보 중에서 1,200만 명의 정보가 유출된 적이 있습니다.

정리를 하면 통신사 갈아탄다고 해결되진 않는다.

유플러스도 KT도 모두 화려한 과거가 있다.

중요한 건 아니 우리가 왜, 우리가 굳이 왜 귀찮게 번호 이동하고 그래야 되냐는 거죠.

요거는 물리 유심이고 요거는 이심이에요.

그래서 벌써부터 좀 짜증이 이만큼 올라와 있습니다. 안 그래도 이심 바꾸려면 진짜 귀찮던데 이걸 왜 내가 시간 들여서 대리점 들려서 바꾸고 해야 되냐는 거죠.

특정 회사를 옮겨 타는 게 아니라 통신 업계 전체 보안 수준의 향상과 책임 의식을 좀 높여야 되고 시정이나 68억 금이 아니라 이건 6,800억 과징금 맞으면 해결됩니다.

오늘부터 무상 유심 교체가 시작될 텐데 SKT 공식 매장이라도 센터에서 바꿀 수 있다고 합니다.

하지만 다시 강조드립니다만 유심을 바꾼다고 이미 유출된 정보는 중국 해커들 손에 넘어갔고 어딘가에서 거래되고 있을 수 있습니다.

또한 카이스트 교수님께서는 유심에는 A4용지 70장 분량의 민감한 데이터들이 담겨져 있대요.

그리고 해커들은 유심칩의 단순 식별 정보뿐 아니라 홈 스크라이버 서버와 연결된 인증 정보를 가져갈 수도 있다고 합니다.

홈 스크라이버 서버, 줄여서 HSS는 쉽게 말해 통신사가 가지고 있는 주민 등록분 뭐 그런 거예요.

SKT에 가입할 때 우리는 통신사에 우리 전화번호나 비밀번호, 요금제, 뭐 로밍 권한 이런 것들을 주잖아요.

이거를 기록해 둔 서버가 바로 HSS입니다.

그리고 이 연결 경로가 뚫렸다면 서버 내부의 민감한 데이터에 접근했을 가능성도 배제할 수 없다며 2차 피해에 대한 우려도 전문가들은 밝히고 있습니다.

HSS가 뚫렸다면 진짜 서버의 인증키 체계를 전면 재미있을 해야 될 수도 있습니다.

거의 통신망 전체를 재구축을 해야 되기 때문에 이건 사실 좀 비현실적인 일이죠.

어쨌든 일반 사용자는 우선 당장엔 유심 교체가 최선이긴 합니다.

더 할 수 있는 게 없어요. 아니 근데 솔직히 그까 문자 하나 딱 보내 가지고 링크 클릭하면 이심자들은 알아서 심 바뀌고 유심자들은 주소지 기입하게 해서 불편함을 덜하게 해야지 아니 바빠 죽겠는데 대리점 들러 가지고 바꾸고 있으라는 게 귀찮긴 합니다만 어쨌든 심 스핑 범죄부터 2차 피해까지 일어날 것을 상정하고 통신사와 과기부, 금융권이 좀 대응을 해야겠죠.

늘 최악의 사태를 상정하는 것이 중요하니까요.

저는 아, 이런 말씀 좀 드리기 그렇지만 제가 이제 세계 주요 컨퍼런스들을 다 가봤잖아요.

유튜브 영상으로도 여러분은 확인하셨을 텐데, 실제로 가보면 통신사에서 정말 많이 와 있어요.

그리고 통신사에서 투자했던 훌륭한 스타트업들이 정말 많이 와 있습니다.

저는 KT나 SKT가 이런 식으로 좋은 스타트업에 투자하면서 과학 기술 발전을 위해서 힘쓰고 있다는 사실 자체를 부정하고 싶지 않고 그분들의 노력에는 늘 박수를 보내고 존경을 합니다.

하지만 AI, AI 외치면서 유행을 따라가는 동안 보안 투자는 솔직히 좀 늘 부실했다고 감히 주제 넘게 생각해 봅니다.

저 역시 스타트업 종사자잖아요.

그리고 솔직히 툭 놓고 말해서 VC랑 CVC 관계자분들, LP 눈치 보면서 잘 모르지만 AI 위주로 투자 포트폴리오만 그 몇 년 동안 계속 쭉 짜왔던 것은 팩트잖아요.

제가 컨퍼런스에서 못 본 걸 수도 있지만 KAI 막 팍팍 이러는 거 봤어도 K시큐리티 하는 거는 본 적이 없어요.

보안 투자는 상대적으로 부실했던 것이 맞는 거 같고 실제로 해커가 뚫어 버렸다는 것은 허점이 심각하다는 방증이죠.

물론 뭐 내부 직원 계정을 탈취하거나 관리 소프트웨어 취약점을 공략했거나 내부 뭐 협업 업체를 통해서 공격을 했을 가능성도 있지만 그렇기 때문에 뭐 SKT 입장에서는 억울할 수도 있겠죠.

하지만 어떤 경로든지 간에 결국에 기술적인 문제는 있었던 겁니다.

왜냐면 정보 보안의 핵심 원칙이 바로 제로 트러스트잖아요.

절대로 믿지 말고 계속해서 검증해라. 현대 보안에서 가장 중요한 개념 중에 하나잖아요.

아무도 믿지 말라고. 네트워크 안에 있든 밖에 있든 모든 사람과 장비를 신뢰하지 않는 것이 기본이라고.

내부 직원조차 핵심 DB에는 함부로 접근할 수 없었어야 합니다.

아무튼 애플이나 구글, 마이크로소프트 이런 빅테크들은 우리 보안 뚫어내면 1억들입니다.

3억 들입니다. 10억 들입니다. 이러면서 자신들이 무엇이 부족한지 화이트 해커들을 통해서 계속해서 검증하고 또 쌓아 나가고 검증하고 또 쌓아 나갔는데 우리는 지금 뭘 하고 있는지 모르겠어.

뚫리지 않는 성은 당연히 없어요.

하지만 성벽을 공고히 하고 뚫렸을 경우에 고객이 받는 피해에 대해서 머리 숙이는 것 이상으로 여러 가치를 주었으면 하는 바람을 좀 가져봅니다.

그럼 모두 유심이랑 이심 잘 교체하시고 아무 일도 없고 잘 해결되길 바래봅니다.

꼭 보세요! SKT 해킹 사태 이제 시작입니다. 유심 교체 이후 더 위험한게 옵니다;

기술 전문가들이 만든 기술 전문 채널

학생들에게는 과학자의 꿈을, 성인들에게는 기술의 안목을 전달합니다.

반도체/자동차/로봇/제조/이차전지/AI/바이오/ESG/신재생/디스플레이 등 기술 전반을 다루고 있습니다.

- 비즈니스 문의: heisenberg230801@gmail.com
- 개인 문의: 인스타그램 @softdragon__ 
