합동조사단 "SKT 서버, 3년전 악성코드에 감염 … 해킹 서버서 IMEI 29만건 확인돼 유출 가능성 배제 못해"

SK텔레콤 해킹 사고 관련 조사 중인 민관합동조사단이 서버에 악성코드가 심어진 시점을 2022년 6월 15일로 특정했다. 감염된 서버에서 단말기 고유식별번호(IMEI) 29만건이 포함된 파일이 임시 저장된 것을 확인, 유출 가능성을 배제할 수 없게 됐다.

과학기술정보통신부는 19일 서울정부청사에서 SKT 침해사고 관련 민관합동 2차 조사결과 브리핑을 진행했다.

1차 브리핑에 이어 3주만에 진행된 이번 브리핑을 통해 감염된 서버는 23대, 악성코드는 25종으로 늘어났다. 1차 조사결과에서 감염된 정황을 파악한 서버는 5대였고, 발견한 악성코드는 4종이었다. 현재 정밀 분석이 완료된 서버는 15대로, 8대 서버는 분석을 진행 중이다.

유심 정보 중 가입자 식별키(IMSI)만 유출됐다고 발표했던 1차 조사 결과와 다르게 2차 조사에서는 IMEI 정보의 유출 가능성이 제기됐다. 통합고객인증 서버와 연동되는 임시저장 서버에 고객 인증을 목적으로 호출된 IMEI 29만여건과 이름과 생년월일 등을 포함한 다수의 개인정보가 확인됐다는 점에서다.

류제명 과기정통부 네트워크정책실장은 “1차 발표는 조사단 구성 6일만에 발표했고 복제폰에 대한 우려가 커져 IMEI가 저장된 서버에 한해서만 긴급 분석작업을 진행한 것”이라며 “4차에 걸친 강도 높은 조사작업이 반복되면서 IMEI 값을 호출하는 시스템에서 해당 자료가 있다는 것을 추가로 발견하게 됐다”고 설명했다.

과기정통부는 방화벽 로그(이벤트) 기록이 남아있는 기간에는 해당 자료 유출 흔적이 없다고 했다. 다만 최초 악성코드가 설치된 시점부터 로그기록이 남아있지 않은 기간에 대한 자료 유출 여부는 확인되지 않았다는 것이다. SK텔레콤 서버에 악성코드가 최초로 설치된 시점은 2022년 6월 15일로 추정되며 이 때부터 2024년 12월 2일까지는 유출 가능성이 존재한다.

악성코드 최초 설치 시점을 특정할 수 있었던 것은 악성코드 중 홈페이지 등 웹 서버에서 동작하는 악성 스크립트인 ‘웹셸’이 설치된 시점과도 연결된다. 웹셸은 홈페이지 등을 장악하는 데 널리 사용되는 프로그램으로, 해당 경로를 통해 BPF도어 악성 프로그램이 설치된 것으로 풀이된다.

과기정통부는 해커에게 IMEI 값이 노출됐다고 해서 복제폰을 생성할 수 있는 것은 아니라고 단언했다. 물리적으로 제조사가 인증한 단말기의 키값이 없이는 IMEI를 알고 있어도 복제폰을 만들 수 없다는 것이다. 류 실장은 “100%라고 말하기는 어렵지만 사업자나 제조사 판단으로는 불가능하다고 하고 만들어졌다고 해도 네트워크에 접속 자체가 차단된다고 설명드린다”며 “국민들께서 과도한 불안을 가지지 않으셔도 된다고 판단하고 있다”고 덧붙였다.

조사단은 해커를 특정하거나 개인정보 유출에 대해서는 별도 조사기관에서 발표할 사안이라며 말을 아꼈다. 감청 등 가능성에 대해서도 조사단의 범위를 넘어서는 내용이라고 선을 그었다. 다만 임시저장 상태로 유출된 개인정보는 암호화되지 않은 평문으로 돼있었다고 말했다.

조사단 관계자는 “공격 주체는 경찰과 정보기관이 추적하는 부분”이라며 “조사는 정밀하고 철저하게 조사한다는 원칙 하에 지연될 가능성이 있지만 최대한 6월 이내 발표하는 것을 목표로 신속히 추진하고 있다”고 강조했다.

BPF도어 악성코드의 특성 자체가 복잡해 해킹의 목적을 판명하는 데에는 조사가 더 필요하다는 입장이다. 류 실장은 “다양한 보안전문가 자문을 받았지만 자료 탈취가 목적인지 다음단계 공격을 위한 거점 역할인지 등 시나리오가 다양하다”며 “상업적·경제적 목적 해킹과는 양상이 달라서 해킹의 목적에 대한 부분도 면밀히 보고있다”고 전했다.

한편, 과기정통부는 SK텔레콤의 신규가입 중단 해소와 관련해서는 기존 가입자 유심교체 수요의 충족이 우선돼야한다는 기존 입장을 번복했다. SK텔레콤이 악성코드에 대한 대처를 미흡하게 한 부분이나 정보보호 체계가 부족한 부분에 대해서는 재발방지 대책 수립 때 발표하겠다고 제시했다.