이번 SK텔레콤 해킹 사태를 보면서 많은 생각이 든다. 데자뷰이기도 하고 반복적 보도와 보안 전문가들의 칼럼, 유튜브까지. 매시간 비슷한 말과 대책이 쏟아진다. 이따금 위협을 선동하는 발언은 무섭기까지 하다.
지난 2015년쯤 스마트폰으로 위치를 추적해 범인을 찾아내는 작업을 진행한 적이 있다. 그 과정에서 유심 정보를 연계해 스마트폰에 담긴 정보가 얼마나 무서운지 알 수 있었다. 이러한 해킹은 스미싱처럼 링크나 접속을 유도하는 과정과 유사하다.
그러나 유심을 교체하거나 복제할 수 있다면 이야기가 달라진다. 내 스마트폰이 복제될 수 있다는 가능성, 여기서 국민적 불안감이 증폭된다. ‘심스와핑’(SIM Swapping)을 통해 복제 폰이 만들어지면, 내 개인정보를 비롯해 각종 사생활이 공개될 수 있다는 우려가 있기 때문이다.
이러한 상황 설정은 오류가 있다. 예를 들어 복제 폰이 있어도 금융권에서 요구하는 2차 인증과 비밀번호 등의 정보가 없다면 출금은 어렵다. 하지만 한 사람의 개인정보를 활용해 인형처럼 부릴 수 있다. 문자 갈취나 내 번호를 활용한 지인 피싱, 개인정보와 결합한 다수의 불법 행위가 가능하다.
현재 대한민국 대다수 국민의 개인정보는 다크웹에서 상당히 오랜 기간 거래됐다. 중요한 점은 이러한 개인정보가 다른 정보와 결합해 핀셋 형태의 정밀 공격을 받을 확률이 높아졌다는 것이다. 이번 해킹 사태도 유심 정보 유출로 인한 당장의 피해는 경미할 수 있다. 하지만 이러한 정보들이 조합된다면 매우 심각한 사태를 초래할 수 있다.
특히, 스미싱 분야에서 이동통신사의 과감하고 적극적인 투자와 함께 정부의 노력이 필요하다. 사용자에게만 책임을 떠넘기는 현재 방식은 절대적으로 개선이 필요하다. 예를 들어 문자 발송과 수신 과정에서 URL 자체를 제한하는 등의 적극적인 개입이 필요해 보인다. 사생활 침해 논란이 될 수 있으니, 필요한 사람들에게만 동의를 얻는 방식도 있을 것이다.
정부 차원에서 이통사들의 정보 유출 현황과 대응에 대한 재검토가 필요할 수 있다. 이번 침해 사건도 다양한 측면의 검사가 필요하다. 그동안 주요 사건들의 포렌식 과정을 보면 악성코드는 침해된 서버에만 존재하는 것이 아니다.
일련의 사태는 통신사들이 경제적 이득과 이용자 수 불리기에만 몰두해 발생한 인재에 가깝다. 그간 침해 사건을 보면서 국회와 전문가들의 질타와 비난을 수없이 보고 있지만, 가장 중요한 부분은 국민적 불안을 달래주기 위한 대응 과정의 투명성과 적절한 정보 공개다.
보안은 보험과 비슷하지만, 한번 피해를 보면 그 손실이 천문학적이며, 신뢰에 큰 상처를 남긴다. 아직도 안일하게 대응하고 대충 얼버무리려는 사람들이 있다면 이번 기회에 정리 대상이 돼야 한다. 반면, 침해를 탐지하고 수습한 사람에게는 표창이나 격려도 필요하다.
[글_류동주 경찰청 안보수사국 사이버안보 해킹조직연구회 위원장(성신여대 대학원 융합보안공학과 겸임교수)]
[자료: gettyimagesbank]
지난 2015년쯤 스마트폰으로 위치를 추적해 범인을 찾아내는 작업을 진행한 적이 있다. 그 과정에서 유심 정보를 연계해 스마트폰에 담긴 정보가 얼마나 무서운지 알 수 있었다. 이러한 해킹은 스미싱처럼 링크나 접속을 유도하는 과정과 유사하다.
그러나 유심을 교체하거나 복제할 수 있다면 이야기가 달라진다. 내 스마트폰이 복제될 수 있다는 가능성, 여기서 국민적 불안감이 증폭된다. ‘심스와핑’(SIM Swapping)을 통해 복제 폰이 만들어지면, 내 개인정보를 비롯해 각종 사생활이 공개될 수 있다는 우려가 있기 때문이다.
이러한 상황 설정은 오류가 있다. 예를 들어 복제 폰이 있어도 금융권에서 요구하는 2차 인증과 비밀번호 등의 정보가 없다면 출금은 어렵다. 하지만 한 사람의 개인정보를 활용해 인형처럼 부릴 수 있다. 문자 갈취나 내 번호를 활용한 지인 피싱, 개인정보와 결합한 다수의 불법 행위가 가능하다.
현재 대한민국 대다수 국민의 개인정보는 다크웹에서 상당히 오랜 기간 거래됐다. 중요한 점은 이러한 개인정보가 다른 정보와 결합해 핀셋 형태의 정밀 공격을 받을 확률이 높아졌다는 것이다. 이번 해킹 사태도 유심 정보 유출로 인한 당장의 피해는 경미할 수 있다. 하지만 이러한 정보들이 조합된다면 매우 심각한 사태를 초래할 수 있다.
특히, 스미싱 분야에서 이동통신사의 과감하고 적극적인 투자와 함께 정부의 노력이 필요하다. 사용자에게만 책임을 떠넘기는 현재 방식은 절대적으로 개선이 필요하다. 예를 들어 문자 발송과 수신 과정에서 URL 자체를 제한하는 등의 적극적인 개입이 필요해 보인다. 사생활 침해 논란이 될 수 있으니, 필요한 사람들에게만 동의를 얻는 방식도 있을 것이다.
▲류동주 위원장
일련의 사태는 통신사들이 경제적 이득과 이용자 수 불리기에만 몰두해 발생한 인재에 가깝다. 그간 침해 사건을 보면서 국회와 전문가들의 질타와 비난을 수없이 보고 있지만, 가장 중요한 부분은 국민적 불안을 달래주기 위한 대응 과정의 투명성과 적절한 정보 공개다.
보안은 보험과 비슷하지만, 한번 피해를 보면 그 손실이 천문학적이며, 신뢰에 큰 상처를 남긴다. 아직도 안일하게 대응하고 대충 얼버무리려는 사람들이 있다면 이번 기회에 정리 대상이 돼야 한다. 반면, 침해를 탐지하고 수습한 사람에게는 표창이나 격려도 필요하다.
[글_류동주 경찰청 안보수사국 사이버안보 해킹조직연구회 위원장(성신여대 대학원 융합보안공학과 겸임교수)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
조재호기자 기사보기
[2025-04-07] 
