"유심 정보 털렸는데 괜찮다고?"…SKT 해명에 쏟아지는 비난

"이미 퍼진 개인정보와 결합되면 치명적"…현실 위협 외면

유영상 SK텔레콤 대표이사가 30일 국회 과학기술정보방송통신위원회의에서 열린 방송통신 분야 청문회에서 유심 해킹 사태와 관련한 질의에 답하고 있다. 연합뉴스

대규모 유심(USIM) 정보 유출 사태를 두고 SK텔레콤이 "복제만으로는 금융 피해가 어렵다"고 해명한 가운데, 보안 전문가들이 현실은 훨씬 복합적이라며 공개적으로 반박에 나섰다.

실제 사례와 현장 분석을 종합하면, 유심 정보가 해킹 공격의 '출발점'이 될 수 있는 가능성을 배제할 수 없는 상황이다.

SK텔레콤은 지난 30일 보도자료를 통해 최근 외부 해킹으로 유출된 유심 관련 정보(IMSI, Ki 등)에 대해 "이는 네트워크 인증 목적의 기술적 정보로, 금융정보나 공인인증서, 계좌번호 등 민감한 데이터는 포함되어 있지 않다"고 밝혔다.

이어 "설령 유심이 복제되더라도 단독으로 금융 범죄에 사용될 수 없으며, 유심 보호 서비스가 적용되면 복제 유심의 작동 시도를 차단할 수 있다"고 설명했다.

또한 SK텔레콤은 이번 유출과 관련해 오는 5월 중순까지 전국 대리점에서 유심을 무상 교체하고, 초기화 기능도 제공하겠다고 덧붙였다.

통신사 측은 "기술적으로 유심 정보만으로는 자산 탈취가 불가능하다"는 입장을 분명히 했다.

하지만 현장 보안 전문가들은 이 같은 입장을 지나치게 단선적인 기술 해명이라며 반박하고 있다. 실제 공격 시나리오는 다중 정보 유출과 결합된 정교한 방식으로 전개되며, 유심 정보는 그중 핵심적인 퍼즐 조각이 될 수 있다는 설명이다.

한 정보보안 전문가는 "유심이 금융정보를 직접 담고 있지는 않지만, 문제는 국내외 금융·플랫폼 서비스 다수가 여전히 유심 기반 인증에 의존하고 있다는 점"이라고 지적했다. 그는 "이미 다크웹에는 이름, 주민등록번호, 계좌번호 등이 유통되고 있다. 여기에 유심 정보가 결합되면 피해자 명의의 인증 절차를 우회하는 심 스와핑(SIM Swapping) 공격이 가능하다"고 말했다.

심 스와핑은 해커가 유심을 복제한 뒤, 피해자의 스마트폰을 원격으로 꺼지게 하거나 통신사에 사칭신고를 해 재발급을 유도해 해당 번호를 장악하는 방식이다. 이후 이 번호로 수신되는 인증문자나 통화 인증을 탈취해 금융 서비스, 클라우드 계정, 암호화폐 지갑 등에 접근할 수 있다.

이 같은 방식은 실제로 여러 국가에서 이미 발생한 바 있다. 2023년 미국에서는 한 해커가 심 스와핑을 통해 180만 달러(한화 약 24억 원) 상당의 암호화폐를 탈취한 사건이 발생했다. 피해자는 "어느 순간부터 문자 수신이 안 되고, 그 직후 이메일과 클라우드 계정까지 해킹당했다"고 진술한 것으로 알려졌다.

또한 통신사 내부 직원이나 고객센터 담당자가 공격자에게 속아 인증 절차를 우회하는 사례도 빈번하게 보고되고 있다. 이 경우 별도 해킹 기술 없이도 유심 복제와 개인정보만으로 심각한 피해로 이어질 수 있다.

전문가들은 단순히 유심 보호 서비스 가입만으로는 부족하며, 다음과 같은 조치를 병행해야 한다고 강조했다. 우선 2단계 인증 수단을 문자 기반(SMS)에서 앱 기반(TOTP)으로 전환하고, 구글 OTP나 Authy 등 별도 인증기를 사용하는 것이 중요하다고 지적했다. 또한 로그인 알림 설정, 이중 비밀번호 적용, 구글 및 애플 계정 접근 제한, 클라우드 연동 통제 등도 필수적인 보호 조치로 꼽혔다.

특히 통신사 고객센터를 통한 본인 인증 절차 강화와, 통신사 계정 접근 제한 역시 이용자가 직접 요청해야 할 부분으로 제시됐다. 전문가들은 "심 스와핑은 특정 데이터 하나만으로 이뤄지지 않는다. 여러 정보가 조합될 때 현실적인 위협이 된다"고 설명했다.

이와 관련해 보안 업계에서는 이번 SK텔레콤 해명이 전제한 가정이 실제 현장에서 얼마나 유효한지에 대한 의문도 제기되고 있다. 유심 정보 자체는 민감한 금융 정보가 아닐 수 있으나, 그것이 '무해하다'고 단정할 수는 없다는 주장이다.

업계 관계자는 "기술적으로는 맞는 말일지 몰라도, 해킹은 늘 현실에서의 취약점을 노린다. 공격자들은 복수의 데이터 유출을 엮어내는 방식으로 진화하고 있으며, 유심 정보는 그 중 하나에 불과하다"며, "단일 정보를 기준으로 위험성을 저평가하는 태도는 위험하다"고 말했다.

한편 SK텔레콤은 이번 유출과 관련해 정확한 침해 경로 및 원인에 대해 조사를 진행 중이며, 향후 고객 보호 조치를 강화하겠다고 밝혔다.