SK텔레콤의 유심(USIM, 가입자식별장치) 정보 저장 서버 해킹 사건을 조사 중인 민관 합동 조사단이 최근 악성 코드 8종을 추가로 공개하고 관련 사항에 대해 확인하고 있다.
6일 보안업계에 따르면 한국인터넷진흥원(KISA)은 최근 보호나라에 악성코드 8종을 게시했다.
KISA는 “최근 통신사 침해사고 대응 중 리눅스 시스템을 대상으로 공격 사례가 확인됐다”고 설명했다.
SK텔레콤은 지난달 18일 보안관제센터에서 9.7기가바이트(GB)에 달하는 비정상적 데이터 이동을 감지하고 이후 악성코드가 심어진 사실과 파일 삭제 흔제 흔적 등을 발견했다.
다음날에는 홈가입자서버(HSS)의 데이터 유출이 의심되는 정황을 확인했다. 이 서버는 4G 및 5G 가입자가 음성 통화를 이용할 때 해당 통화가 이뤄지는 단말이 통신사에서 개통된 것인지 여부를 인증하는 역할을 한다.
조사단은 새로 발견한 악성코드가 해킹 당한 것으로 확인된 HSS에서 발견된 것인지, 다른 서버에서 발생한 것인지 등 구체적 정황을 파악하고 있다.
이와 관련, SK텔레콤 측은 “아직 조사 중인 사안이라 구체적 내용을 밝히기 어렵다”고 답했다.
보안업계 일각에선 이번 SK텔레콤 해킹에 이반티(Ivanti)라는 업체의 VPN(가상사설망) 장비 취약점이 공격 당했을 것이란 주장이 제기되고 있다. 다만 SK텔레콤의 리눅스 기반 서버 VPN 장비가 이반티인지 여부는 아직 확인되지 않고 있다.
아울러 SK텔레콤이 보안 최신성 유지를 위한 활동이 제대로 이뤄졌는지에 대한 의혹도 나오고 있다.
이에 류정환 SK텔레콤 인프라센터장은 “이번에 해킹 당한 장비는 네트워크 장비로 특수성이 있다”며 “통신서비스에 국한된 서비스인 만큼 우리뿐 아니라 거의 모든 회사가 해당 장비에 대한 여러 가지 보안장치를 마련하고 있다”고 설명했다.
이어 “직접적인 부분은 장비의 부하를 보면서 하고 있다”며 “보안 최신성을 유지는 하고 있지만 외곽에서 있지만 외곽에서 경계 보안 많이 한다. 이 쪽의 보안을 더 신경쓰고 있다”고 덧붙였다.
아울러 SK텔레콤은 카카오톡과 같은 SNS 사용 중 본인의 실제 위치와 다른 곳에서 로그인하는 시도가 생기는 사례에 대해서는 “이번 해킹 사고와 관계 없다”고 강조했다.
김희섭 SK텔레콤 PR센터장은 “유출된 정보에는 카카오톡, 네이버, 페이스북 등에 대한 아이디나 비밀번호가 저장돼 있지 않아 이번 해킹 사고와 무관하다”고 설명했다.
앞서 과학기술정보통신부는 지난 3일 통신3사와 네이버, 카카오, 쿠팡, 우아한형제들 등 주요 플랫폼 기업의 정보보호 현황을 점검했다. 사용 중인 VPN 장비가 이번 SK텔레콤 해킹에 사용된 악성코드에 취약한지 여부 등을 점검할 것도 주문했다.
이밖에 SK텔레콤이 현행 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증 심사를 잇달아 통과했음에도 해킹 사태가 벌어진 만큼 점검이 제대로 이뤄지지 못했다는 지적을 받는다.
국회 과학기술정보방송통신위원회 이훈기 더불어민주당 의원이 과기정통부로부터 받은 자료에 따르면 현재 SK텔레콤이 보유한 정부의 정보보호 인증은 ISMS(정보보호 관리체계 인증) 2개와 ISMS-P(정보보호 및 개인정보보호 관리체계 인증) 1개 등 모두 3개다.
이에 류 센터장은 “정보보호 인증을 받았음에도 이번 사고를 일으켜 죄송하다”며 “앞으로 여러 보완할 사항 나올 것으로 보인다. 이를 통해 더 안전한 네트워크 만들도록 하겠다”고 말했다.
한편, SK텔레콤의 신규 영업이 중단된 지난 1만3745명이 이탈한 것으로 조사됐다.