SKT 해킹, 개인정보·IMEI 유출 가능성…“스마트폰 복제는 불가”

민관 조사단, SKT 침해사고 조사결과 2차 발표
서버 23대 공격…개인정보 저장하는 2대도 포함
2022년 6월부터 지난해 12월 사이 유출 여부 미확인
"IMEI만으로 폰 복제 못해…네트워크 접근도 불가"

최우혁 과학기술정보통신부 정보보호네트워크정책관이 19일 서울 종로구 정부서울청사에서 SKT 침해사고 관련 민관합동 조사결과 2차 발표 브리핑을 하고 있다./연합뉴스

단말기 고유식별번호(IMEI)와 개인정보를 저장한 SK텔레콤의 서버가 공격받은 정황이 확인됐다. 유출 피해에 대한 국민적 우려가 커지게 됐지만, IMEI 유출만으로 복제폰 생성은 물리적으로 불가능하다는 것이 민관합동 조사단 측 설명이다.

19일 민관합동 조사단은 정부서울청사에서 열린 SKT 침해사고 조사결과 2차 발표를 통해 23대의 서버가 감염된 것을 확인했다고 밝혔다. 그중 2대는 IMEI와 이름, 생년월일 등 개인정보를 일정기간 임시로 관리하는 서버였다.

민관합동 조사단장을 맡고 있는 최우혁 과학기술정보통신부 정보보호네트워크정책관은 "이날 현재 감염된 23대 서버 중 15대에 포렌식 등 정밀분석을 완료했다"며 "분석이 완료된 15대 중 개인정보 등을 임시 저장하는 2대를 확인했다"고 말했다.

이어 "해당 서버는 통합고객인증 서버와 연동되는 서버들로 고객 인증을 목적으로 호출된 IMEI와 이름, 생년월일, 전화번호 등 다수의 개인정보가 있었다"고 덧붙였다.

해당 서버에는 총 29만1831건의 IMEI가 포함된 것으로 확인됐다. 이후 조사단이 2차에 거쳐 정밀 조사를 실시한 결과, 방화벽 로그기록이 남아 있는 지난해 12월 3일부터 지난달 24일 사이에는 자료 유출이 없는 것으로 나타났다. 다만 악성코드가 처음 설치된 시점인 2022년 6월 15일부터 로그기록이 남아 있지 않은 지난해 12월 2일까지의 유출 여부는 아직까지 확인되지 않았다.

IMEI 유출만으로는 유심을 복제해 다른 스마트폰에 꽂아 사용하는 심스와핑, 이른바 스마트폰 복제 가능성은 거의 없다는 것이 과기부 측 설명이다.

류제명 과기부 네트워크정책실장은 "제조사들의 설명에 따르면, 15자리의 숫자 조합인 IMEI 값만으로는 복제폰이나 쌍둥이폰의 생성은 물리적으로 불가능하다"며 "설사 스마트폰 복제가 이뤄졌다 하더라도 네트워크 접속이 불가하다"고 말했다.

한편 조사단은 다음달 말까지 SKT 서버 시스템 전체를 강도 높게 점검한다는 목표로, SKT의 리눅스 서버 약 3만 여대에 대해 4차례에 걸친 점검을 진행했다. 현재 조사단은 감염된 23대의 서버 중 8대를 분석하는 한편, 타 악성코드 탐지 및 제거를 위한 5차 점검을 진행하고 있다.