최근 SK텔레콤의 HSS 서버가 해킹되는 사건이 발생하며 가입자들의 유심 정보 유출 및 유심 복제(심클로닝) 위험성이 커지고 있다. HSS 서버는 가입자 정보 및 단말 네트워크 접속 인증 등을 관리하는 핵심 시스템으로, 유심 관련 데이터가 포함되어 있어 악의적인 복제폰 제작이 가능해진다는 점에서 큰 문제로 지적된다.
이번 해킹은 SKT의 중앙 서버인 HSS를 대상으로 이루어졌으며, 유심 구입 시 포함되는 심리얼, IMSI, IMEI, 유심 인증키 등의 정보가 유출된 것으로 알려졌다. 공격 방식은 중국 기반에서 주로 사용되는 BPF 도호 기법이라는 리눅스용 악성 파일을 심은 것으로 파악되며, 악성 코드 제작 소스 코드가 오픈 소스로도 공개되어 공격자 단정이 어려운 상황이다. 한국인터넷진흥원은 BPF 도호 공격에 활용된 공격자의 IP 식별값 파일 정보를 최근 공개했다.
사고 인지 시점 및 공지 방식 논란
사고 인지 시점을 두고 논란이 일었다. SKT는 처음 일반 고객 대상 보도자료에서 4월 19일 악성 코드로 인한 유심 정보 유출을 인지했다고 발표했으나, 과방위 소속 한 의원은 이미 하루 전인 4월 18일부터 인지하고 있었다고 밝혔다. 관련 법률에 따라 한국 인터넷 진흥원에 24시간 이내 신고해야 하지만, SKT의 신고 시점은 24시간 이후였다는 점이 지적된다. 뉴스에서는 19일에 인지했다고 고지하여 24시간 이내 신고 시점을 맞추려 한 듯 보인다는 분석도 있다.
최초 인지 후 3~4일 뒤 보도자료가 배포되었고, 전 고객 문자 발송 약속(4월 23일)과 달리 뉴스룸을 통해서만 공지되는 등 소극적인 방식으로 정보가 확산되었다는 비판이 나온다. 많은 고객들이 커뮤니티나 언론 보도를 통해 소식을 접했으며, 특히 뉴스룸 접근이 어려운 디지털 취약 계층에게 정보 전달이 매우 어려웠을 것이라는 우려가 제기된다. 심지어 기사 작성 시점까지 문자 메시지를 받지 못했다는 고객도 있었다.
유심 복제 위협 및 파급 효과
이번 해킹의 가장 큰 위협은 유심 복제 가능성이다. 유심에는 개인 식별 코드가 있어 이를 다른 공 유심에 넣으면 내 번호와 동일한 복제폰을 만들 수 있는데, 이를 심클로닝이라 한다. 내 핸드폰 앱 자체가 복제되는 것은 아니지만, 한국에서 휴대폰 번호로 개인 인증이 많이 이루어지는 점을 고려할 때, 복제된 번호를 통해 나도 모르게 은행 등 다양한 곳에서 인증이 이루어질 위험이 있다. 이로 인해 금감원은 일부 보험사(KB라이프, NH농협생명)가 SKT 인증을 중단했다고 밝혔다.
SKT의 대책 및 문제점
SKT는 주요 대책으로 유심 보호 서비스 무료 가입 제공 및 유심 무료 교체 서비스를 제시했다.
- 유심 보호 서비스: 복제된 유심이 다른 폰에서 망에 접속하는 것을 막는 서비스로, 핸드폰 개통 시 등록된 IMEI와 접속 시도 IMEI를 대조하여 일치하지 않으면 접속을 차단한다. 로밍 또한 원천 차단한다. 이는 피해 예방책이 될 수 있다고 SKT는 설명한다. 그러나 이 서비스는 로밍 사용 시 불편하고 (해지/재가입 필요), 새로운 폰으로 변경 시에도 해지 후 재가입해야 하는 불편함이 있다. SKT는 5월 중 로밍 사용 불편을 해소하겠다고 밝혔지만, 근본적인 해결책으로는 유심 교체가 빠르다는 의견도 있다.
- 유심 무료 교체: 물리적으로 새로운 유심으로 바꾸는 근본적인 해결책으로 제시되었으나, 발표 초기 전국 대리점에서 유심 물량 부족 사태가 발생하며 고객들이 큰 불편을 겪었다. 현재는 유심 교체 예약 페이지가 운영되고 있으며, 5월 말까지 추가 유심 물량을 확보할 예정이라고 SKT는 밝혔다. SKT가 직접 운영하는 PSNM 대리점 방문이 추천된다. 그러나 여전히 대리점 방문이 필수적이며, 방문이 어려운 디지털 취약 계층 등을 위한 방문/택배 서비스 부재가 아쉬운 점으로 지적된다.
SKT는 유심 보호 서비스 가입 후 피해 발생 시 100% 책임진다고 발표했지만, 해킹으로 인해 처음부터 피해가 발생했을 수 있는데 책임 시점을 유심 보호 서비스 가입 이후로 한정한 것에 대한 의문도 제기된다. 서버 해킹은 SKT 책임이지만, 고객이 직접 서비스를 신청하고 대리점에 방문해야 하는 상황에 대한 비판도 있다.
알뜰폰 및 이심 사용자
SKT 망을 사용하는 알뜰폰 사용자도 이번 사태의 대상이다. 유심 보호 서비스 대상에는 포함되었지만, 알뜰폰 사업자들의 대처는 상대적으로 소극적이라는 평가도 있다. 알뜰폰 사용자는 다른 통신사로의 이동도 고려해볼 만하다는 의견이 있다. 이심(eSIM) 사용자 역시 새로운 이심으로 교체하는 것이 권장된다. 이심 교체는 SKT 대리점에서 구매한 폰은 온라인으로 가능하지만, 자급제폰은 대리점 방문이 필요하다. 현재 유심 부족 상황을 고려하여 이심 지원 단말 사용자는 이심으로 변경을 유도하고 비용을 면제하는 방안이 필요하다는 의견도 있다.
개인별 대처 방안 및 유의사항
전문가들은 해킹 피해를 최소화하기 위한 가장 깔끔한 방법으로 물리적인 유심 교체를 권장한다. 유심 물량 부족 등으로 당장 교체가 어렵다면 유심 보호 서비스에 가입하여 피해를 예방하는 것이 좋다. 유심 물량이 확보되면 유심 교체를 진행하는 것이 근본적인 해결책이 될 수 있다.
심클로닝 자체만으로는 주민등록번호, OTP, 계좌번호 등 민감 정보가 유심에 저장되지 않아 직접적인 금융 범죄가 쉽게 일어나지는 않는다. 그러나 심클로닝이 다른 정보 유출과 결합될 경우 위험해질 수 있다. 만약을 대비하여 휴대폰 내 신분증/여권 사진 등은 미리 삭제하는 것이 추천된다. 또한, 해커가 보낸 문자/카톡/이메일 등으로 휴대폰 재부팅을 요청할 경우 절대 응해서는 안 된다. 재부팅 시 복제폰이 망에 접속하며 원래 폰이 먹통이 될 수 있다. 유심 비밀번호 설정은 물리적 유심 도난 시에만 유효하며 서버 해킹과는 무관한 대처법이다. 티머니 교통카드 사용자는 유심 교체 시 환불 및 재발급 절차를 거쳐야 한다.
향후 과제
현재까지 SKT의 대처는 사고 인지 및 공지 지연, 소극적인 정보 전달, 대책 변경, 유심 물량 부족 및 불편한 교체 절차 등 여러 면에서 아쉬움을 남기고 있다는 비판이 계속되고 있다. SKT는 피해 규모 파악에 시간이 걸린다고 밝히고 있으나, 피해 범위와 대처의 충분성에 대한 더 투명한 정보 제공이 필요하다. 유심 물량 확보 및 교체 절차 개선이 시급하며, 특히 온라인/오프라인 예약 및 택배 서비스 도입 등 접근성을 높이고, 디지털 취약 계층을 위한 배려와 뉴스룸 외 더 빠른 공지가 요구된다.