유심 해킹 사실 발표 한 달 됐지만 여파 여전
VPN 허점 이용했다면 2000여개 기업도 위험
VPN 허점 이용했다면 2000여개 기업도 위험
SK텔레콤이 가입자 유심(USIM) 정보가 해킹당했다는 사실을 발표한 지 한 달이 지난 22일 서울시내 한 SKT 직영점에서 가입자들이 유심 교체 상담을 받기 위해 대기하고 있다. 뉴시스
SK텔레콤 유심 해킹 사고가 공개된 지 한 달이 지난 22일에도 그 여파는 잦아들지 않고 있다. 되레
국내 이동통신 3사 모두가 해킹 위협에 노출된 것이 아니냐는 걱정이 커지고
있다. 글로벌 보안업체와 외신들이 KT와 LG유플러스 등 다른 통신사 역시 비슷한 공격에 노출됐거나 침입을 당했을 가능성을 제기하면서다. 실제 해커 침입이나 악성코드 설치, 정보 유출이 확인되진 않았지만 통신 3사가 공동 대응에 나설 가능성도
나온다.특정 VPN 문제라면... 이미 '시한폭탄' 심겨 있을 수도
가상사설망(VPN) 등을 개발·판매하는 정보기술(IT) 소프트웨어 이반티 홈페이지. 이반티 홈페이지 캡처
보안업계에 따르면 4월
글로벌 보안업체 트렌드 마이크로
는 보고서를 통해 2024년 7월과 12월 두 차례에 걸쳐 한국 통신사가 이번 SKT 공격에 사용된 BPF도어 악성코드 공격을 받았다
고 밝혔다. 대만 사이버 보안기업 팀T5
는 '이반티 가상사설망(VPN)'의 취약점을 이용해 한국을 비롯한 여러 국가에 중국과 연계된 해킹그룹이 '지능형 지속 위협(Advanced Persistent Threat·APT)'을 했다
고 전했다.APT 공격은 국가 기반 시설이나 금융, 통신, 정부기관 등을 표적으로
삼는다. △제로데이 취약점·맞춤형 악성코드 등 '지능형'이며 △목표를 달성할 때까지 몇 달~몇 년을 표적 시스템에 머무르는 '지속성' △조직적이고 목적이 명확한 '위협'의 성격을 띠고 있다. 임종인 고려대 정보보호대학원 석좌교수는 "기간 산업 등에 사이버 폭탄을 심은 뒤 유사시 매직 패킷을 보내 전체 서비스를 중단시키는 것이 목적
"이라고 말했다.만약
SKT 해킹이 이반티 VPN의 허점을 이용한 APT 공격이었다면 걱정은 커진다
. SK쉴더스는 지난해 9월 보고서를 통해 "이반티 VPN은 국내에서도 2,000여 개 이상 기업이 쓰고 있다"고 밝혔다. 이번에 피해가 드러난 SKT 말고도 KT나 LG유플러스가 이반티 VPN을 사용했다면 취약점이 드러났을 가능성도 있다는 것. 다만 KT와 LG유플러스는 이반티 VPN을 쓰지 않고 있다고
이날 밝혔다. SKT도 해킹이 알려지기 전인 4월 초 이반티 VPN 대신 다른 장비로 교체
했다. KT·LG유플러스도 정보유출 전례... "통화기록 유출" 외신 보도도
통신 3사 모두 해킹 사고를 경험했다.
KT는 2012년 영업 시스템이 공격 받아 가입자 870만 명의 이름과 주민등록번호, 휴대전화번호와 사용 요금제, 기기변경일 등이, 2014년에도 홈페이지 해킹으로 1,200만 명의 이름, 주민등록번호, 휴대전화번호, 집주소, 직업, 은행계좌 등이 빠져나갔다.
LG유플러스는 2018년쯤 유출된 것으로 추정되는 고객인증시스템(CAS) 내 휴대전화번호, 이름, 주소, 생년월일, 이메일, 아이디, 유심 고유번호 등 26개 항목의 개인 정보 29만7,117건이 2023년 다크웹에서 발견되며
피해 사실이 드러났다. 또 미국 워싱턴포스트(WP)는 지난해 2월 싱가포르에 본부를 두고 있으며 중국 정부와 연계된 해킹 기업 아이순(iSoon)에서 유출된 것으로 보이는 내부 자료 중에 "한국 LG유플러스 고객 통화 기록 3테라바이트(TB)가 있다는 내용이 담겼다"고 보도했다
. SKT "기간 통신 사업자 간 공동 논의 진행될 듯"
서울시 내 한 휴대폰 대리점에 걸려 있는 통신3사 로고. 연합뉴스
해킹에 있어서 모두가 자유롭지 못한 만큼 해킹 사고가 생겼을 때 통신 3사가 함께 대응하는 논의를 시작할 가능성이 나오고 있다.
류정환 SKT 네트워크인프라 센터장
은 이날 서울 중구 삼화타워에서 열린 일일 브리핑에서 "APT 공격은 막기도 어렵고 해결하기도 어려워 기간 통신 사업자 간 공동 논의가 진행될 것 같은데 아직은 안 되고 있다
"며 논의에 참여할 뜻도 밝혔다. 현재까지는 각 사가 보안 강화, 시스템 점검, 피해자 안내 등을 해왔지만 3사 공동 대응 논의가 공식적으로 언급된 것은 사실상 처음이다.