"2600만 건의 개인정보 유출?"⋯SKT 해킹사건 사실은 [Q&A]

8 hours ago 3

서효빈 기자 입력 2025.05.20 11:54

IMSI 정보로 이름 등 개인정보와 달라
IMEI 정보도 "유출 없어"⋯복제폰 물리적으로 불가능

[아이뉴스24 서효빈 기자] SK텔레콤 유심(USIM) 정보 해킹 사태와 관련해 과학기술정보통신부와 SK텔레콤이 19일 브리핑을 통해 2차 민관합동조사단 조사 결과를 공개했다. 이날 간담회에서는 유출 범위, 해킹 시점, 단말기 정보 유출 가능성, 복제폰 우려, 개인정보 암호화 등 핵심 쟁점에 대한 정부와 SK텔레콤의 입장이 나왔다.

과기정통부는 1차 조사에서 파악된 5대 외에 추가로 18대의 감염 서버가 확인돼, 총 23대의 서버가 악성코드에 감염됐다고 밝혔다. 이 중 2대는 이름·생년월일·전화번호 등 개인정보와 단말기 고유식별번호(IMEI, International Mobile Equipment Identity)가 임시 저장되는 서버로, 기존에 배제됐던 개인정보 유출 가능성도 다시 제기됐다. 이에 따라 '개인정보 유출', '복제폰 위험' 등의 우려가 확산되고 있다. 정부, SK텔레콤, 전문가 등의 설명을 토대로 팩트체크를 정리했다.

26일 서울 시내 한 SKT 대리점에서 고객들이 유심을 교체하기 위해 줄을 서 기다리고 있다. 2025.4.26 [사진=연합뉴스]

Q. 이번에 '2600만 건 유출’ 됐다는데 개인정보를 말하는 건가

A. 그렇진 않다. 과기정통부는 "가입자식별키(IMSI, International Mobile Subscriber Identity) 기준 2695만7749건임을 확인했다"고 발표했다. IMSI는 단말기와 유심을 구분하는 기술 정보로, 이름이나 생년월일 같은 민감한 개인정보와는 다르다. 이 정보는 1차 조사 때 이미 유출 사실이 확인됐던 내용으로, 2차 조사는 규모를 보다 명확히 정리한 수준이다.

Q. 단말기 정보가 담겨 있다는 IMEI 정보도 유출됐다는데?

A. 아니다. 과기정통부에 따르면 IMEI, 개인정보 등이 저장된 2개 서버에 악성코드가 감염된 것으로 확인되긴 했지만 아직까지 확인된 유출 건은 없다. 과기정통부는 "고객 인증이 목적인 해당 서버에 IMEI 29만1831건과 이름·생년월일 등 개인정보가 포함된 사실을 확인했다"고 밝혔을 뿐이다. 다만 로그기록이 남아 있지 않은 기간 동안 유출이 없었는지 확인이 어렵다. 과기부는 "확인된 건 없다" 정도로만 답했다.

Q. 그런데 SK텔레콤은 왜 유출 없다고 확신하는가?

A. SK텔레콤은 다각적인 데이터를 종합해 판단했기 때문이다. 회사 측은 “정부는 서버 로그 중심으로 판단하지만 우리는 망 운영 로그, 고객 민원(VOC), 경찰 수사자료까지 포함해 분석했다”며 “그 결과 외부 유출 정황은 없다고 본다”고 설명했다. 또한 “실제 유출이 있었다면 단말 접속 이상, 피해 신고 등 실질적인 징후가 나타났을 것인데 그런 사례는 없다”고 강조했다.

Q. IMEI가 유출됐다면 복제폰 우려는 없는가?

A. 기술적으로는 거의 불가능하다는 것이 정부와 업계의 공통된 입장이다. 과기정통부는 "IMEI 값은 열다섯 자리 숫자의 조합인데, 그 숫자만으로 쌍둥이폰을 만드는 건 원천적으로 불가능하다는 것이 제조사의 해석"이라고 설명했다. IMEI는 복제폰 생성에 필요한 핵심값 중 하나지만, 제조사와 통신사의 다중 인증 체계를 통해 실제 망 접속이 어렵다는 설명이다. SK텔레콤도 “IMEI 하나만으로는 복제폰을 만들 수 없고, 복제 시도 시 망 접속을 막는 FDS(이상탐지시스템)를 고도화해 대응하고 있다”고 밝혔다.

Q. 22년 6월부터 해킹했다는데?

A. 해커의 조작 가능성 때문에 확실하지 않다. 과기정통부는 "포렌식을 하면서 악상코드가 설치된 날짜들을 전문가들이 분석하게 된다"고 말했다. 하지만 SK텔레콤 관계자는 "22년 6월이 최초의 악성코드 생성 날짜냐에 대해서는 좀 약간 의문은 갈 수 있다. 해커들이 실제 생성 날짜 조작을 많이 하기 때문이다"고 했다.

Q. IMEI 정보를 암호화 안했다는데 비용 때문에 아닌가?

A. 비용보다는 기술적 이유가 크다. SK텔레콤은 "IMEI는 실시간 인증에 사용되는 데이터이기 때문에 전면 암호화할 경우 통신 속도나 서비스 안정성에 영향을 줄 수 있어 즉각적인 적용이 어려웠다"고 설명했다. 다만 이번 사고를 계기로 "보안 장비 강화와 함께 민감 정보의 암호화 적용 범위를 확대하는 방안을 검토 중"이라고 덧붙였다.

/서효빈 기자(x40805@inews24.com)

포토뉴스