우리 계좌랑 코인 그리고 SNS가 통째로 털릴 수 있습니다. SKT가 유심 정보 유출로 날리지 않습니까?

가장 무서운 것은 저는 개인적으로 심서핑입니다.

심서핑은 쉽게 말해서 우리 집 열쇠를 복제해서 집주인 행세를 할 수 있는 건데 우리 인증을 가로채서 계좌에 로그인하고 돈을 인출할 수도 있습니다.

우리는 지금 거의 대부분 디지털 인증을 사용을 하고 있으니까요.

실제로 2019년 트위터 창업자인 IT 분야의 최강의자 잭 도시조차 심 스와핑에 당해서 트위터 계정을 해킹당해 난리 난 적 있었죠.

일반인 우리는 뭐 오죽하겠습니까? 문제는 유심을 바꾼다고 해도 이 리스크는 사라지지 않는다는 겁니다.

국가 재난급의 SK 유출 사태가 공지된 날짜는 4월 22일이었어요.

그런데 SKT가 이 문제를 인지한 것은 4월 18일 오후 6시 9분이었습니다.

당시 SKT는 사내 시스템 데이터가 을도치 않게 움직였다는 사실을 최초로 인지했고 같은 날 오후 11시 30분 악성 코드를 발견했습니다.

그리고 다음 날 오후 11시 40분에 악성 코드로 인해서 유심 데이터가 유출됐다는 사실을 알게 되었습니다.

SKT는 해킹 사실을 처음 인지한 날로부터 이틀이나 지난 4월 20일 16시 46분 과기부에 피해 사실을 신고했습니다.

24시간 내에 해킹을 보고해야 되는데 이 규정을 위반한 거예요. 그리고 이틀이나 지난 다음에 과기부에 신고하고 이틀이나 지난 다음에 고객들한테 홈페이지로 공지를 했습니다.

문자도 안 보냈어요. 제가 SK 쓰는데 못 받았어요.

과기부는 4월 22일 오전 10시에 발표된 보도 자료를 통해서 현재 사고 원인 조사를 추진 중이라고 밝혔는데요.

현재 공식적으로 과기부는 시정 명령을 통해서 SKT의 기술적 관리적 보안 문제점에 대해서 개선하도록 하겠다고 했는데, 아, 시정 명령이라 미국의 최대 통신사 중 한 곳인 T모바일은 2021년 8천만 건의 개인 정보 유출로 인해 3억 5천만 달러의 합의금 및 보상금을 냈고 그 외에도 1억 5천만 달러를 보완에 투자했습니다.

어, 참고로 모바일은 보상금은 내겠지만 우리 잘못은 아니야, 이렇게 선을 그었거든요.

법적으로 자신들의 잘못이 아닐 가능성이 있다는 여지를 남겨 둔 거예요.

그럼에도 불구하고 거의 한화로 7,000억 원에 달하는 돈을 지출을 해야만 했습니다.

만약에 미국에서 SKT 사태처럼 거의 명확하게 보안 부실과 더불어 해킹 보고 규정까지 어긴 것이 밝혀졌다면 7,000억이 아니라 조 단위의 돈이 지출돼야 하겠지만 늘 그래왔듯이 통신사의 시정 명령으로 아마 그치게 될 것으로 전망이 됩니다.

그럼 이게 왜 그렇게 위험한 이슈인가?

유심 정보는 다들 아시다시피 핸드폰 사용자가 누구인지를 담고 있는 정보인데 가입자 식별 번호인 IMSI, 단말기 고유 번호인 IMEI 그리고 유심 인증키 같은 데이터들을 말합니다.

그런데 유심 정보가 유출됐다는 것은 단순히 개인 정보 유출을 넘어서 통신 안전망에 싹 돌려서 해커들한테 고속도로를 뚫어줬다는 의미예요.

어느 날 갑자기 핸드폰이 먹통되고 수백만 원에서 한 수천만 원 돈이 도난 당할 수도 있습니다.

실제로 2022년 국내에서 SIM 스와핑 사례로 40건이 접수된 적이 있었거든요.

그때 피해자분들은 갑자기 폰이 먹통이 딱 되고 돈을 털렸습니다.

실제로 SKT 측에서도 이 가능성을 완전 부정하지는 않았거든요.

저는 통신사 사장님이랑 임원 분들이 나와서 죄송합니다, 하면 사과하는 것을 처음 본 거 같아요.

그 정도로 위험한 상황이에요. 실제로 SKT는 프로드 디텍션 시스템, 줄여서 이걸 FDS라고 하는데, FDS를 강화해서 막고 있다고 밝혔습니다.

FDS는 고객의 거래 내역이나 정보, 그리고 거래 패턴 등을 분석해서 의심된 이상 거래를 탐지하고 차단을 하는 기술인데, SKT 내부에서도 금융 위협에 대해서 인지하고 있다는 것을 보여주는 부분이죠.

특히 저희 같은 유튜버들은 주요 핸드폰에 유튜브 스튜디오라 앱을 깔아서 영상을 관리를 하고 그러거든요.

야, 그래서요. 핸드폰이 우리한테는 질문서예요.

즉, SK 해킹 사태는 단순히 개인 정보 몇 건이 아니라 은행 금고 열쇠를 도둑맞은 것과 비슷합니다.

현재까지 확인된 바로 이번 해킹으로 직접적인 금전 피해가 아직까지는 공식 보고되진 않았지만 중국 해커들이 뭔 짓을 할지 아무도 모르는 일이죠.

다른 통신사로 갈아타면 되겠다라고 생각할 수 있습니다.

사실 근데 이게 또 자가 누천해요.

유플러스는 이미 2023년 30만의 개인 정보 유출이 된 전적이 있고요.

어, 그때 사상 최대 과징금인 68억 원에 맞은 적이 있습니다.

참고로 이때도 다크웹의 유심 고유 정보를 비롯해서 이름, 주소, 생년 등 26개 항목이 총 30만 건 정도 유출이 됐었어요.

그리고 유플러스는 아시다시피 일부 지역의 화웨이 장비를 사용하고 있다는 점에서 국민분들의 걱정이 크죠.

솔직히 저는 근데 그 이공계 전공자로서 또 이제 기술을 믿는 사람으로서 화웨이 장비 자체가 기술적으로 현업자분들의 말씀을 들어봐도 화웨이가 이제 해킹에 악하다거나 하는 문제는 기술적으론 없어요.

하지만 중국은 이미 한 8년 동안 유플러스 통하기로 그냥 3TB를 가져간 적이 있죠.

유플러스는 이게 화웨이 장비 때문이라고 말했지만 아직 명확한 증거는 나온 게 없습니다.

KT는 2014년 가입자 1,600만 명의 개인 정보 중에서 1,200만 명의 정보가 유출된 적이 있습니다.

정리를 하면 통신사 갈아탄다고 해결되진 않는다.

유플러스도 KT도 모두 화려한 과거가 있다.

중요한 건 아니 우리가 왜, 우리가 굳이 왜 귀찮게 번호 이동하고 그래야 되냐는 거죠.

요거는 물리 유심이고 요거는 이심이에요.

그래서 벌써부터 좀 짜증이 이만큼 올라와 있습니다. 안 그래도 이심 바꾸려면 진짜 귀찮던데 이걸 왜 내가 시간 들여서 대리점 들려서 바꾸고 해야 되냐는 거죠.

특정 회사를 옮겨 타는 게 아니라 통신 업계 전체 보안 수준의 향상과 책임 의식을 좀 높여야 되고 시정이나 68억 금이 아니라 이건 6,800억 과징금 맞으면 해결됩니다.

오늘부터 무상 유심 교체가 시작될 텐데 SKT 공식 매장이라도 센터에서 바꿀 수 있다고 합니다.

하지만 다시 강조드립니다만 유심을 바꾼다고 이미 유출된 정보는 중국 해커들 손에 넘어갔고 어딘가에서 거래되고 있을 수 있습니다.

또한 카이스트 교수님께서는 유심에는 A4용지 70장 분량의 민감한 데이터들이 담겨져 있대요.

그리고 해커들은 유심칩의 단순 식별 정보뿐 아니라 홈 스크라이버 서버와 연결된 인증 정보를 가져갈 수도 있다고 합니다.

홈 스크라이버 서버, 줄여서 HSS는 쉽게 말해 통신사가 가지고 있는 주민 등록분 뭐 그런 거예요.

SKT에 가입할 때 우리는 통신사에 우리 전화번호나 비밀번호, 요금제, 뭐 로밍 권한 이런 것들을 주잖아요.

이거를 기록해 둔 서버가 바로 HSS입니다.

그리고 이 연결 경로가 뚫렸다면 서버 내부의 민감한 데이터에 접근했을 가능성도 배제할 수 없다며 2차 피해에 대한 우려도 전문가들은 밝히고 있습니다.

HSS가 뚫렸다면 진짜 서버의 인증키 체계를 전면 재미있을 해야 될 수도 있습니다.

거의 통신망 전체를 재구축을 해야 되기 때문에 이건 사실 좀 비현실적인 일이죠.

어쨌든 일반 사용자는 우선 당장엔 유심 교체가 최선이긴 합니다.

더 할 수 있는 게 없어요. 아니 근데 솔직히 그까 문자 하나 딱 보내 가지고 링크 클릭하면 이심자들은 알아서 심 바뀌고 유심자들은 주소지 기입하게 해서 불편함을 덜하게 해야지 아니 바빠 죽겠는데 대리점 들러 가지고 바꾸고 있으라는 게 귀찮긴 합니다만 어쨌든 심 스핑 범죄부터 2차 피해까지 일어날 것을 상정하고 통신사와 과기부, 금융권이 좀 대응을 해야겠죠.

늘 최악의 사태를 상정하는 것이 중요하니까요.

저는 아, 이런 말씀 좀 드리기 그렇지만 제가 이제 세계 주요 컨퍼런스들을 다 가봤잖아요.

유튜브 영상으로도 여러분은 확인하셨을 텐데, 실제로 가보면 통신사에서 정말 많이 와 있어요.

그리고 통신사에서 투자했던 훌륭한 스타트업들이 정말 많이 와 있습니다.

저는 KT나 SKT가 이런 식으로 좋은 스타트업에 투자하면서 과학 기술 발전을 위해서 힘쓰고 있다는 사실 자체를 부정하고 싶지 않고 그분들의 노력에는 늘 박수를 보내고 존경을 합니다.

하지만 AI, AI 외치면서 유행을 따라가는 동안 보안 투자는 솔직히 좀 늘 부실했다고 감히 주제 넘게 생각해 봅니다.

저 역시 스타트업 종사자잖아요.

그리고 솔직히 툭 놓고 말해서 VC랑 CVC 관계자분들, LP 눈치 보면서 잘 모르지만 AI 위주로 투자 포트폴리오만 그 몇 년 동안 계속 쭉 짜왔던 것은 팩트잖아요.

제가 컨퍼런스에서 못 본 걸 수도 있지만 KAI 막 팍팍 이러는 거 봤어도 K시큐리티 하는 거는 본 적이 없어요.

보안 투자는 상대적으로 부실했던 것이 맞는 거 같고 실제로 해커가 뚫어 버렸다는 것은 허점이 심각하다는 방증이죠.

물론 뭐 내부 직원 계정을 탈취하거나 관리 소프트웨어 취약점을 공략했거나 내부 뭐 협업 업체를 통해서 공격을 했을 가능성도 있지만 그렇기 때문에 뭐 SKT 입장에서는 억울할 수도 있겠죠.

하지만 어떤 경로든지 간에 결국에 기술적인 문제는 있었던 겁니다.

왜냐면 정보 보안의 핵심 원칙이 바로 제로 트러스트잖아요.

절대로 믿지 말고 계속해서 검증해라. 현대 보안에서 가장 중요한 개념 중에 하나잖아요.

아무도 믿지 말라고. 네트워크 안에 있든 밖에 있든 모든 사람과 장비를 신뢰하지 않는 것이 기본이라고.

내부 직원조차 핵심 DB에는 함부로 접근할 수 없었어야 합니다.

아무튼 애플이나 구글, 마이크로소프트 이런 빅테크들은 우리 보안 뚫어내면 1억들입니다.

3억 들입니다. 10억 들입니다. 이러면서 자신들이 무엇이 부족한지 화이트 해커들을 통해서 계속해서 검증하고 또 쌓아 나가고 검증하고 또 쌓아 나갔는데 우리는 지금 뭘 하고 있는지 모르겠어.

뚫리지 않는 성은 당연히 없어요.

하지만 성벽을 공고히 하고 뚫렸을 경우에 고객이 받는 피해에 대해서 머리 숙이는 것 이상으로 여러 가치를 주었으면 하는 바람을 좀 가져봅니다.

그럼 모두 유심이랑 이심 잘 교체하시고 아무 일도 없고 잘 해결되길 바래봅니다.

꼭 보세요! SKT 해킹 사태 이제 시작입니다. 유심 교체 이후 더 위험한게 옵니다;

기술 전문가들이 만든 기술 전문 채널

학생들에게는 과학자의 꿈을, 성인들에게는 기술의 안목을 전달합니다.

반도체/자동차/로봇/제조/이차전지/AI/바이오/ESG/신재생/디스플레이 등 기술 전반을 다루고 있습니다.

- 비즈니스 문의: heisenberg230801@gmail.com
- 개인 문의: 인스타그램 @softdragon__ 


에스오디 SOD

SKT 유심 정보 유출 사태로 인해 계좌, 코인, SNS 해킹 위험이 증가했으며, 심서핑을 통한 금전적 피해 가능성이 제기되고 있다.

유심 교체가 당장의 최선책이지만, 이미 유출된 정보는 해커에게 넘어갔을 수 있으며, 통신사 전체의 보안 수준 강화와 책임 의식 제고가 필요하다.

보안 투자의 중요성을 강조하며, 제로 트러스트 원칙을 바탕으로 내부 시스템을 강화하고, 고객 피해에 대한 실질적인 보상과 해결책 마련을 촉구한다.

SKT 유심 정보 유출 위험성 및 심서핑

심서핑은 개인 인증을 가로채 계좌 로그인 및 돈 인출을 가능하게 함.

유명인도 심 스와핑 해킹 피해 사례가 있으며, 유심 교체만으로는 위험이 사라지지 않음.

SKT의 유출 사태 인지 및 보고 지연

SKT는 4월 18일 해킹 인지 후 4월 22일에야 사태를 공지함.

SKT는 해킹 인지 후 과기부 신고 및 고객 공지 지연으로 규정 위반.

과기부의 시정 명령 및 해외 통신사 개인 정보 유출 사례

과기부는 SKT에 기술적, 관리적 보안 문제 개선 시정 명령을 내림.

T모바일은 개인 정보 유출로 막대한 합의금 및 보상금을 지불하고 보안에 투자함.

T모바일은 보상금을 지급했지만 법적 책임은 회피하려 함.

유심 정보 유출의 심각성 및 SIM 스와핑 피해 사례

유심 정보 유출은 통신 안전망에 해커에게 고속도로를 뚫어주는 것과 같음.

SIM 스와핑으로 인한 금전 도난 피해 사례가 실제로 발생.

SKT는 FDS를 강화하여 금융 위협에 대응하고 있다고 밝힘.

SK 해킹 사태는 은행 금고 열쇠를 도둑맞은 것과 유사하며, 금전적 피해 발생 가능성이 있음.

타 통신사로의 이동이 해결책이 될 수 없는 이유

유플러스와 KT 또한 과거 개인 정보 유출 전력이 있음.

유플러스는 화웨이 장비 사용으로 인한 보안 우려가 제기됨.

통신사 변경보다는 업계 전체의 보안 수준 향상이 중요함.

무상 유심 교체 및 유출된 정보의 위험성

유심 교체의 번거로움과 함께 이미 유출된 정보는 해커에게 넘어갔을 수 있다는 점을 강조.

유심에는 민감한 데이터가 담겨 있으며, 해커는 HSS 연결 인증 정보도 가져갈 수 있음.

HSS가 뚫릴 경우 2차 피해 발생 우려가 있으며, 통신망 전체 재구축 가능성도 제기됨.

유심 교체가 최선이지만, 심 스와핑 범죄 및 2차 피해에 대한 통신사, 과기부, 금융권의 대응이 필요함.

통신사의 보안 투자 부족 및 제로 트러스트의 중요성

통신사들이 과학 기술 발전에 힘쓰는 것은 긍정적이나, AI 유행에 비해 보안 투자는 부족했다고 지적.

정보 보안의 핵심 원칙인 제로 트러스트, 즉 '아무도 믿지 말고 계속 검증하라'는 점을 강조.

애플, 구글, MS 등 빅테크 기업들은 보안 강화를 위해 많은 투자를 하고 있다고 언급.

뚫리지 않는 성은 없지만, 피해 발생 시 고객에게 더 많은 가치를 제공해야 한다는 바람을 표현.

🚨 SKT 해킹 사태의 심각성: 개인 정보 유출 넘어선 위협

SKT 유심 정보 유출 사태는 단순한 개인 정보 유출을 넘어 **"통신 안전망에 고속도로를 뚫어준 것과 같다"**고 비유됩니다. 이는 심서핑을 통해 계좌 해킹 및 금전적 피해로 이어질 수 있는 심각한 문제입니다. **"우리 집 열쇠를 복제해서 집주인 행세를 할 수 있는 것"**과 유사하게, 디지털 인증을 가로채 금전적 피해를 야기할 수 있습니다.

실제로 2019년에는 트위터 창업자 잭 도시 또한 심 스와핑으로 인해 계정이 해킹당한 사례가 있으며, 2022년 국내에서도 유사한 사례가 40건 접수되었습니다. 피해자들은 갑작스러운 폰 먹통과 함께 금전적 피해를 입었습니다.

📅 SKT의 늑장 대처: 늦장 보고와 미흡한 공지

SKT는 4월 18일 해킹 사실을 인지했음에도 불구하고, 과기부에 피해 사실을 신고하는 데 이틀이나 지체했습니다. **"24시간 내에 해킹을 보고해야 되는 규정을 위반"**한 것입니다. 고객들에게도 문자 메시지 없이 홈페이지 공지만으로 상황을 알렸습니다.

과기부는 시정 명령을 통해 SKT의 보안 문제 개선을 지시했지만, 미국의 T모바일 사례와 비교하면 미흡한 수준입니다. T모바일은 대규모 개인 정보 유출로 인해 막대한 보상금과 보안 투자 비용을 지출했습니다.

만약 미국에서 SKT처럼 보안 부실과 해킹 보고 규정 위반이 명확히 드러났다면 **"조 단위의 돈이 지출돼야 하겠지만 늘 그래왔듯이 통신사의 시정 명령으로 아마 그치게 될 것으로 전망"**됩니다.

🔑 유심 정보 유출의 위험성: 통신망 무방비 상태

유심 정보에는 가입자 식별 번호(IMSI), 단말기 고유 번호(IMEI), 유심 인증키 등 민감한 정보가 담겨 있습니다. 유출된 유심 정보는 **"단순히 개인 정보 유출을 넘어서 통신 안전망에 싹 돌려서 해커들한테 고속도로를 뚫어줬다는 의미"**를 가집니다.

SKT는 FDS(Fraud Detection System) 강화를 통해 금융 위협에 대응하고 있다고 밝혔지만, **"SK 해킹 사태는 단순히 개인 정보 몇 건이 아니라 은행 금고 열쇠를 도둑맞은 것과 비슷"**합니다.

🔄 통신사 변경이 능사일까? 타사도 안전하지 않다!

다른 통신사로 갈아타는 것이 해결책이 될 수 있지만, 유플러스는 이미 2023년에 개인 정보 유출 전력이 있으며, KT 또한 과거 대규모 정보 유출 사고를 겪었습니다. **"통신사 갈아탄다고 해결되진 않는다"**는 점을 강조합니다.

유플러스는 일부 지역에서 화웨이 장비를 사용하고 있어 보안 우려가 제기되지만, 기술적인 문제보다는 과거 3TB의 데이터 유출 사건이 있었습니다. **"유플러스는 이게 화웨이 장비 때문이라고 말했지만 아직 명확한 증거는 나온 게 없습니다"**.

🛡️ 무상 유심 교체, 최선일까? 그리고 HSS 서버의 위험성

오늘부터 무상 유심 교체가 시작되지만, **"유심을 바꾼다고 이미 유출된 정보는 중국 해커들 손에 넘어갔고 어딘가에서 거래되고 있을 수 있습니다"**. 유심에는 A4용지 70장 분량의 민감한 데이터가 담겨 있으며, 해커들은 HSS(Home Subscriber Server)에 접근하여 2차 피해를 야기할 수 있습니다.

HSS는 통신사가 가지고 있는 주민등록부와 같은 것으로, **"이 연결 경로가 뚫렸다면 서버 내부의 민감한 데이터에 접근했을 가능성도 배제할 수 없다"**고 전문가들은 우려합니다. HSS가 뚫렸다면 통신망 전체를 재구축해야 할 수도 있습니다.

🤔 통신사의 보안 투자 부실: AI 투자 편중과 제로 트러스트 부재

통신사들이 AI 투자에는 적극적이지만, 보안 투자는 상대적으로 부실했다는 지적이 있습니다. **"AI, AI 외치면서 유행을 따라가는 동안 보안 투자는 솔직히 좀 늘 부실했다고 감히 주제 넘게 생각해 봅니다"**. 제로 트러스트 원칙, 즉 **"절대로 믿지 말고 계속해서 검증해라"**는 현대 보안의 핵심 개념이 제대로 적용되지 않았다는 것입니다.

애플, 구글, 마이크로소프트 등 빅테크 기업들은 화이트 해커를 통해 보안 취약점을 지속적으로 검증하고 개선해 나가지만, 국내 통신사들의 노력은 부족해 보입니다.

뚫리지 않는 성은 없지만, **"성벽을 공고히 하고 뚫렸을 경우에 고객이 받는 피해에 대해서 머리 숙이는 것 이상으로 여러 가치를 주었으면 하는 바람"**을 가져봅니다.