정부 민관합동조사단이 19일 발표한 SK텔레콤 해킹 사고 2차 조사 결과, 해킹 피해 규모가 기존 발표보다 훨씬 더 큰 것으로 드러났다. 가입자 유심(USIM) 정보뿐 아니라 개인정보가 일시적으로 저장되는 서버까지 악성코드에 감염된 사실이 새로 확인되면서, 단말기 고유식별번호(IMEI)와 이름, 생년월일, 전화번호, 이메일 등 민감한 정보가 유출됐을 가능성도 제기됐다.

3년간 은밀하게 진행된 대규모 사이버 공격

조사단은 악성코드가 SK텔레콤의 시스템에 최초로 심어진 시점을 2022년 6월 15일로 특정했다. 이후 약 3년간 이뤄진 지속적인 공격을 통해 총 23대의 서버가 감염됐으며, 현재까지 25종의 악성코드(BPF도어 24종, 웹셸 1종)가 발견됐다. 이는 1차 조사에서 확인된 5대 서버·4종 악성코드에서 크게 늘어난 수치다.

악성코드는 고도의 은닉 기능을 가진 ‘BPF도어’ 계열로, 리눅스 기반 서버 3만여 대에 대한 네 차례 점검을 통해 추가로 탐지됐다. 조사단은 다음 달 말까지 윈도 서버와 기타 장비로 점검을 확대할 계획이다.

유심 정보 2,695만건 유출…이전 가입자 정보 포함 가능성도

유출된 유심 정보의 규모는 9.82GB로, 가입자 식별번호(IMSI) 기준 2,695만 7,749건에 달한다. 이는 SK텔레콤 및 자회사 알뜰폰 사용자 수(약 2,500만 명)를 초과하는 수치로, 스마트워치와 IoT 기기 등 다양한 단말기에 탑재된 유심까지 포함된 것으로 보인다.

SK텔레콤 측은 “이전 가입자의 정보는 포함되지 않았다”고 해명했지만, 유출된 정보에 과거 가입자 정보가 포함됐을 가능성은 여전히 제기되고 있다.

IMEI 포함 개인정보 유출 가능성…복제폰 악용 우려

조사단은 감염된 서버 중 2대가 고객 인증과 관련된 개인정보를 임시로 저장하는 서버임을 확인했다. 해당 서버에는 단말기 고유식별번호(IMEI) 29만여 건이 포함된 파일이 있었으며, 이름, 생년월일, 전화번호, 이메일 등 다양한 개인정보도 존재했던 것으로 조사됐다.

조사단은 지난해 12월 3일부터 올해 4월 24일까지의 방화벽 로그를 분석한 결과 해당 기간에는 유출이 없었다고 밝혔다. 그러나 최초 악성코드 설치 시점인 2022년 6월 15일부터 지난해 12월 2일까지는 로그가 남아 있지 않아, 이 기간의 자료 유출 여부는 확인되지 않고 있다.

IMEI와 유심 정보(IMSI)가 함께 유출될 경우, 스마트폰 복제나 금융사기 등의 범죄에 악용될 수 있어 심각한 보안 우려가 제기된다. 정부는 SK텔레콤에 유심 교체 및 복제폰 방지 대책 마련을 요구했으며, SKT는 이상거래탐지시스템(FDS)을 통해 피해 방지를 추진 중이라고 밝혔다.

“국가안보 차원 대응 필요”…조사 및 대응 확대

과학기술정보통신부와 한국인터넷진흥원, 국가정보원 등으로 구성된 민관합동조사단은 이번 사고가 단순 기업 해킹을 넘어 국가 안보 차원에서 다뤄야 할 사안으로 보고 있다. 현재 중앙행정기관 및 공공기관 대상 점검도 병행 중이며, 민간과 공공 분야에서는 아직 추가 피해 사례는 접수되지 않았다.

정부는 개인정보보호위원회에도 해당 사실을 통보했으며, 정확한 유출 범위와 피해 규모를 파악하기 위한 추가 조사를 계속 진행할 예정이다.