'이슈 픽 쌤과 함께' 정보 보안 전문가인 고려대학교 정보보호대학원 김승주 교수와 함께 사상 최대의 SKT 해킹 사고의 문제점과 함께, 이번 해킹의 진짜 목적을 알아본다.

15일 방송되는 KBS 1TV '이슈 픽 쌤과 함께'에서는 ‘피해가 0? SKT 해킹의 목적은 무엇인가?’라는 주제로 강연이 펼쳐진다.

지난 4월, 가입자만 2,500만 명에 달하는 우리나라 최대의 이동통신사 SKT의 유심 정보가 유출되며 전례 없는 대규모 개인정보 유출 사태가 벌어졌다. 5월 19일 발표된 2차 조사 결과는 모두에게 충격을 안겨주었는데, 기기 식별번호 약 29만 건이 유출된 정황이 드러난 것이다. 이뿐 아니라 악성 코드인 BPFdoor 20종이 추가로 발견되기도 했다. 해커가 BPFdoor을 통해 잠입해 시스템 운영체제에 설치되어 최고 등급의 권한을 획득했을 가능성이 높다. 이는 모든 내부 시스템에 접근이 가능하기에 모든 데이터 정보가 유출되었을 가능성이 존재함을 의미한다.

3년간 조용히 이루어진 해킹에 대해 김 교수는 “지난해 해킹 사실을 알 수 있는 기회가 있었다”고 말했다. 외국의 보안기업 트렌드마이크로는 2024년 7월과 12월, 한국의 한 통신사에 대한 공격이 있었다고 밝혔다. SKT는 이러한 경고에도 불구하고 이번에 해킹을 당한 것이다. SKT는 평소 정보보호에 대한 투자액 역시 낮은 편이었던 것으로 나타났는데, 가입자의 수가 업계 1위인 것에 비해 정보보호 투자액은 2위에 머무르며 예방에 소홀했다는 지적을 피할 수 없게 된 상황이다.

소홀한 정보 보안을 보여준 또 다른 예로는 예방뿐 아니라 사후 대책에서도 찾을 수 있다. SKT가 해킹 사실을 인지한 후 24시간 내에 과학기술정보통신부에 보고를 하지 못한 것이다. 피해 사실을 과학기술정보통신부에 빨리 알려야 하는 이유는 다른 기관에도 유사 피해가 있는지 확인하고 빠르게 대응해야 하기 때문이다. 거기다 SKT의 가장 큰 문제점은 바로 정보 자산 분류가 되어 있지 않았던 것으로, 정보 자산이 분류되어야 선택과 집중에 따른 사후 대응이 가능하다. SKT는 이러한 사전 예방과 보호가 미비했기에 사후 대책이 늦어지고 그에 따라 국민들이 더욱 불안에 떨게 된 것이다.

3년 전부터 시작된 해킹이지만, 돈이 사라지거나 비밀번호가 바뀌는 등의 피해를 벌어지지 않았는데, 그렇다면 이 해킹 사고의 범인은 누구이며, 범행을 저지른 목적은 무엇일까. 김 교수는 “현재 그 점을 조사 중이지만, 개인보다는 국가를 배후로 둔 조직적인 수행으로 추정된다”고 밝혔다. 해킹이 시작된 초창기 시절에는 해커의 명예욕과 실력 과시가 목표였으나, 점차 해킹의 목적은 명예욕에서 금전 탈취로 바뀌었다. 금융기관을 해킹하고 기업을 해킹해 금전을 요구하는 것이다.

그러나 SKT 해킹의 범인은 금전을 요구한 정황이 없다. 이렇듯 조용히 숨어들어와 몰래 활동한다는 점이 요즘 벌어지는 해킹의 특징이다. 이미 우리나라뿐 아니라 전세계적으로도 이 조용하고 은밀한 해킹이 지속되고 있다. 작년 미국에서는 9곳의 전기통신 기업이 해킹당하는 일이 벌어졌는데, 미국에서는 해킹의 특성상 개인이 아닌 중국의 정교한 대규모 해킹이라고 밝혔다. 사건의 배후에 국가가 있어, 해커들이 국가의 지원을 받고 국가의 이익을 위해 해킹을 하는 것이다.

미국의 해킹 사건에서 유출된 정보는 바로 통화 상세 기록(call detail record)이다. 통화 기록은 실제로 정치인의 이익 관계나 위치 정보를 수집하여 이를 이용해 정치적인 공작이 가능하다. 한 나라의 대선에 영향을 줄 수도, 이로 인해 엄청난 파장을 몰고 올 수도 있는 것이다. 김 교수는 “이번 SKT 해킹의 목적도 통화 상세 기록 수집이 목적일 것이라고 생각된다”고 전했다.

김 교수는 “SNS에 개인 정보 노출을 자제해야 한다”고 강조하며, 여행을 가서 사진을 찍더라도 동선이 노출되지 않도록 실시간으로 올리지 말고 ‘다녀온 후’ 올려야 한다고 말했다. 그리고 휴대전화 업데이트를 반드시 할 것과 보안에 취약한 무료 와이파이는 사용하지 않는 것을 권했다. 또한 김 교수는 이러한 개인의 노력을 촉구함과 더불어 “데이터 개방이 필수인 지금 시대에서는 국가 차원의 정보 자산 분류가 꼭 선행돼야 한다”고 전했다. 또, “기업 역시 개발이 보안보다 우선순위가 되지 않게, 개발 단계에서부터 반드시 보안을 생각하고 내재화해야 한다”고 덧붙였다.