“SKT 해커의 진짜 노림수?”…국민 2300만 명 ‘빨간불’ 켜진 이유

유심 정보 유출, 심 스와핑 위험
K값 유출로 복제 유심 위협
유심 보호 서비스 가입 필수

“내 핸드폰에 있는 문자를 해커가 볼 수 있다고?” SK텔레콤 2300만 가입자를 위협하는 대규모 정보 유출 사태가 발생했다.

이번 사건이 위험한 이유는 해커들이 유심 정보를 빼내 가상의 복제 유심을 만들면 금융 거래 인증문자를 가로채 계좌를 탈취할 수 있는 ‘심 스와핑’ 범죄가 가능해지기 때문이다.

아직 피해 사례는 확인되지 않았지만 전문가들은 선제적 대응을 강조하고 있다. 통신업계는 27일 피해 확산 방지를 위한 긴급 대책을 발표했다.

쉽게 설명하자면, 이번 사태는 마치 집 열쇠의 복제본이 유출된 것과 같은 상황이다.

휴대폰 유심은 우리의 통신 정보가 담긴 ‘디지털 신분증’인데, 이 정보가 해커에게 넘어갔다. 해커들은 이 정보로 가짜 유심을 만들어 우리 몰래 문자를 받아볼 수 있다.

특히 은행에서 보내는 인증번호를 훔쳐 우리 계좌에 접근할 가능성이 있어 위험하다.

SK텔레콤 고객이라면 즉시 ‘유심 보호 서비스’에 가입하고, 평소 문자 인증만으로 중요한 거래를 하지 않는 습관이 필요하다.

해킹된 정보의 실체와 위험성

SK텔레콤은 지난 19일 홈가입자서버(HSS)가 해커의 악성코드 공격을 받아 전화번호, 유심 인증키값(K값), 이동가입자식별번호(IMSI), 단말기고유식별번호(IMEI) 등 유심 관련 정보가 유출됐다고 밝혔다.

계좌 비밀번호나 공인인증서, 생체정보 등 직접적인 금융정보는 포함되지 않았지만, 유출된 정보만으로도 심각한 위험이 있다.

가장 위험한 것은 ‘K값’으로 불리는 유심 인증키다. 이 키는 SIM 카드와 이동통신사가 서로를 인증할 때 사용하는 비밀키로, 이론상으로는 이 정보를 이용해 가짜 유심카드를 복제할 수 있다.

복제된 유심으로 원래 사용자의 통신을 가로채거나 인증문자를 훔칠 수 있다.

IMSI는 가입자를 식별하는 고유번호로, 이를 통해 가입자 위치 추적이나 가짜 기지국을 통한 도청 시도가 가능해질 수 있다.

IMEI는 핸드폰 기기 자체의 고유번호로, 단독으로는 해킹이 어렵지만 다른 정보와 결합하면 블랙리스트 등록이나 위장 장비 등록 같은 악용이 가능하다.

이렇게 유출된 정보를 이용해 가장 우려되는 범죄가 ‘심 스와핑'(SIM Swapping)이다.

이는 유심 정보를 도용·복제해 피해자의 은행이나 가상화폐 계좌를 탈취하는 신종 해킹 수법이다. 복제된 유심으로 피해자의 휴대전화 인증번호를 가로채 본인 인증을 무력화시킬 수 있다.

정부와 SK텔레콤의 대응책

과학기술정보통신부와 한국인터넷진흥원(KISA)은 SK텔레콤이 피해 사실을 알린 직후부터 현장 조사를 진행 중이다.

SK텔레콤도 개인정보보호위원회에 개인정보 유출 정황을 신고하는 등 관련 조사에 적극 협조하고 있다.

SK텔레콤은 피해를 방지하기 위한 다양한 대책을 즉각 시행 중이다. 전체 시스템에 대한 전수 조사를 실시하고, 불법 유심 기기 변경과 비정상 인증 시도에 대한 차단을 강화했다.

또한 피해 의심 징후가 발견되면 즉각적인 이용 정지와 안내 조치를 강화할 계획이다.

가장 주목할 만한 대책은 ‘유심 보호 서비스’를 무료로 제공하는 것이다. SK텔레콤은 홈페이지를 통해 신청하는 모든 고객에게 이 서비스를 무료로 제공하고 있다.

유심 보호 서비스는 유심의 임의 사용과 무단 기기 변경, 해외 로밍 등을 차단해 유심 복제 피해를 방지한다.

SK텔레콤은 전체 고객을 대상으로 서비스 가입을 권장하는 문자메시지도 순차적으로 발송하고 있다. 이 문자에는 유심 보호 서비스의 특징과 가입 절차가 상세히 안내되어 있다.

전문가들이 권장하는 자기 방어법

전문가들은 SK텔레콤 고객들에게 유심 비밀번호 설정, 유심 보호 서비스 가입, 필요시 유심 교체 등의 조치를 취할 것을 강력히 권고하고 있다.

고려대 정보보호대학원의 임종인 교수는 “설령 해커가 유출된 정보로 해외에서 복제 유심을 만들더라도, SK텔레콤이 해외 통신사들과 제휴 관계를 유지하고 있어 유심 보호 서비스에만 가입해도 해외에서의 범죄 시도를 효과적으로 차단할 수 있다”고 조언했다.

보안 전문가들은 또한 평소 휴대폰 인증에만 의존하지 말고 이중 인증이나 생체 인증 등 다양한 보안 수단을 병행할 것을 권고한다.

특히 은행이나 금융 앱 사용 시 SMS 인증보다는 앱 내 인증 기능을 활용하는 것이 더 안전하다고 조언한다.

SK텔레콤 관계자는 “현재까지 유출된 정보가 악용된 사례는 확인되지 않았지만, 고객들의 안전을 위해 선제적 대응에 최선을 다하고 있다”며 “고객들께서는 반드시 유심 보호 서비스에 가입하시기 바란다”고 당부했다.

전문가들은 이번 사태를 계기로 통신 보안이 단순한 개인정보 보호를 넘어 금융 보안과 직결된다는 점을 인식하고, 통신사와 정부 차원의 보안 강화가 필요하다고 입을 모았다.