“당장 점검하라”... SKT 유심 해킹 사건 총리마저 나선 까닭은

지난주 국내 1위 무선통신 업체 SK텔레콤이 유심(USIM·가입자 식별 모듈) 해킹 사건에 휘말렸다.

SK텔레콤은 유영상 대표가 직접 나서 전 고객을 대상으로 유심 무료 교체를 진행한다고 발표했다. 2300만 가입자 즉, 국민 절반에 이르는 고객들을 안심시키 위한 사과와 조치였다.

하지만 주말이 지나도 우려는 사그라들지 않았다. 전체 고객의 유심 정보가 유출된 건 아니라도 아직 사고 범위를 정확히 모른다는 점에서 불안감이 오히려 커졌기 때문이다.

급기야 한덕수 대통령 권한대행도 27일 과학기술정보통신부에 “SK텔레콤 유심 보호 서비스 가입·유심 교체 조치의 적정성을 면밀히 점검하라”고 지시하고 나섰다.

손톱만한 유심이 뭐길래?

유심은 이동통신 서비스 이용을 위해 가입자의 기기 식별 정보를 안전하게 저장하는 칩이다. 따라서 유심 정보를 해킹하면 복사된 유심칩을 만들수 있다. 때문에 이 정보가 유출되면 스마트폰의 정보를 이용해 해커나 제 3자가 이를 범죄에 악용할 가능성이 높아진다.

정보의 유출 시점과 규모는?

SK텔레콤의 정보가 빠져나간 것은 지난 19일로 관측된다. 하지만 한국인터넷진흥원(KISA)에 신고한 시점은 이 보단 훨씬 늦은 시점이다. 따라서 늑장 신고, 봐주기 논란 등이 제기되고 있다.

피해 규모는 아직 공개되지 않았다. 전체 가입자 정보는 아니란게 SK텔레콤 주장이다.그러나 피해자의 규모를 아직 특정하지 못했단 뜻도 된다.

2300만 가입자 중 누가 피해자인지 특정되지 않았다면 우려와 불안은 모든 가입자의 몫이 된다.

어떤 정보가 유출됐나?

외부 유출된 것으로 추정되는 유심 관련 정보는 이동가입자식별번호(IMSI), 단말기 고유식별번호(IMEI) 등 일부다.

하지만 이 식별 번호가 성명, 주민번호, 주소, 이메일 등 개인신상과 연관성이 있다. 통신사는 이 단말의 고유번호와 가입자의 식별번호를 통해 서비스를 제공하기 때문이다. 따라서 유출된 정보가 어떤 정보와 결합하느냐에 따라 그 정보의 가치도 달라진다.

내 유심 교체 꼭 필요할까?

SK텔레콤은 현재 가동 중인 강화된 FDS(비정상인증시도 차단 시스템)와 유심보호서비스 두 가지 조치만으로도 유심 교체에 준하는 효과가 있다고 했다.

우선 타인이 유심을 복제·탈취해 다른 기기에서 악용하는 것을 차단하는 것이다. ‘T월드 앱’ 또는 고객센터(114)에서 무료로 제공 중이고 오는 5월 중에는 로밍 상태에서도 서비스를 이용할 수 있도록 고도화 할 예정이다.

하지만 가장 안전한 방식은 유심 교체다. 완전히 새로운 고유번호를 부여받을 수 있다. SK텔레콤이 잠깐의 손해를 무릅쓰고 고객 전체를 대상으로 유심 무료 교체를 진행하기로 한 것도 이 때문으로 분석된다.

특히 SKT는 직접 망을 이용하지 않고 망을 빌려 서비스 하는 알뜰폰 사용자도 유심 카드를 무료로 교체할 계획이다.

유심 내일 당장 교체할 수 있을까?

문제는 유심 교체 요청이 몰려 대량으로 수요가 발생하면 갑작스런 물량 확보가 어렵다. SK텔레콤이 재고 마련에 나서겠지만 당분간 교체 수요가 폭증할 것이란 전망이다. 이 때문에 사과 발표 이후 관련 기업의 주가도 상한가를 기록했다.

특히 통신사들의 번호이동이나 신규 유심 발행이 통신시장 정체와 함께 한정적인 수요를 보이면서 생산량 자체가 많이 떨어진 상황이다.

KT나 LG유플러스 등 다른 통신사에 유심을 거래하는 업체의 물량까지 감안해도 당분간 유심 교체 병목 현상이나 품귀 현상까지 발생할 수 있단 전망도 나온다.

SK텔레콤은 어떤 처벌을 받을까?

아직 사고의 원인이 규명되지 않은 상황에서 처벌에 대해 속단하기는 쉽지 않다. 관련 부처인 과학기술정보통신부와 개인정보보호위원회, 한국인터넷진흥원(KISA), 경찰 등이 합동으로 조사하고 있다.

2023년 LG유플러스는 약 29만 7000 건의 고객 개인정보 유출로 인해 개인정보보호위원회로부터 과징금 68억 원과 과태료 2700만 원을 부과받았다. 하지만 지난 2024년 법이 개정되면서 개인정보 유출 과징금 기준이 관련 매출이 아닌 전체 매출로 변경됐다.

다만, 이번 유출의 범위가 아직 확정적이지 않고, 개인정보와의 연관성도 불확실한 만큼 그 규모를 쉽게 추정할 수는 없는 상황이다.

매일경제