SKT 해킹 2차 조사결과 공개…암호화 없이 저장된 개인정보 논란

정부와 SK텔레콤이 참여한 민관합동조사단이 SKT 해킹 사고에 대한 2차 조사 결과를 발표했다. 조사단은 전체 서버 시스템을 대상으로 강도 높은 점검을 진행 중이며, 현재까지 총 23대 서버가 악성코드에 감염된 사실을 확인했다. 이번에 유출된 정보는 총 9.82GB 규모로, 가입자 식별키를 기준으로 약 2696만 건에 달하며 이 중에는 IMEI 정보 약 29만 건도 포함돼 있는 것으로 밝혀졌다. 다만 2022년 6월 15일부터 2024년 12월 2일까지의 자료 유출 여부는 아직 확인되지 않았다.

조사단은 BPFDoor 계열 악성코드 24종과 웹셸 1종 등 총 25종의 악성코드를 확인하고 긴급 대응 조치를 시행했다. 특히 웹셸 설치를 통해 BPFDoor가 유입된 것으로 분석되며, 트렌드마이크로의 과거 보고서에 언급된 통신사가 SK텔레콤이라는 직접적인 근거는 없는 상태다. IMEI 정보는 노출 상태로 발견되진 않았고, 복제폰 제작 가능성은 기술적으로 낮은 것으로 판단됐다.

정부는 이번 사태에 대해 '철저한 조사', '투명한 공개', '피해 예방 대책 마련'이라는 세 가지 원칙을 강조하고 있으며, 주요 통신사와 플랫폼 기업에 대한 추가 보안 점검과 함께 공공기관 6000여 곳에 대한 정밀 점검도 병행하고 있다. 악성코드는 2022년 6월 15일 설치된 것으로 보이며, SK텔레콤은 사후 포렌식을 통해 이를 확인한 상태다.

개인정보는 암호화되지 않은 평문 형태로 저장돼 있었고, 로그 부재로 인해 유출 시점과 범위를 명확히 파악하는 데 한계가 있다. 방화벽 로그는 4~5개월 분량만 보관돼 있어 공격 초기에 대한 근거 확보는 어려운 실정이다. 이에 대해 정부는 사이버위기관리단을 중심으로 백신 개발 및 경보체계 고도화를 추진 중이다.

정부는 개인정보 유출에 대한 법적 판단은 개인정보보호위원회에서 진행 중이라고 밝혔으며, 위약금 면제 여부 등 보상책은 법률 검토를 거쳐 결정될 것이라고 덧붙였다. 유출 정보의 유효성 검증과 추가 피해 방지 대책 수립이 조속히 이루어질 필요성이 제기되고 있다. /이현정 기자