.jpg)
보안 전문가들은 이번 SK텔레콤 해킹 사태의 진앙지로 중국을 지목했다. 당초 예상과 달리 피해 규모가 커, 현재 진행중인 민관합동 조사의 범위와 기간이 대폭 확대돼야 한다는데도 인식을 같이 했다.
보안뉴스는 15일 서울 마포구 보안뉴스 대회의실에서 ‘SKT 해킹 사태의 전말과 시사점’ 좌담회를 긴급 개최했다. 이 자리에서 참석자들은 사태 초기, 기술적 안내와 대국민 홍보 측면에서 SKT의 잘못을 지적했다. 하지만, 과도한 우려나 혼란은 경계했다.
민감 정보의 암호화를 놓고는 의견이 갈렸다. 완벽 보안을 위해 암호화는 필수란 견해와 함께, 이 경우 이동통신 시스템 실가동에 물리적 걸림돌로 작용하며 보란상 실효 없단 지적이 맞섰다.
차기 정부에 향해서도 정책 조언을 아끼지 않았다. 참석자들은 보안 관련 법적 충돌 해결과 함께, 해당 조직 및 투자에 대한 전향적 기조 등을 요구하고 나섰다.
한편, 이번 좌담회는 보안뉴스 공식 유튜브 채널(BNTV)를 통해 공개된다.
[참석자(가나다순)]
△김용대 석좌교수(KAIST)
△김호원 한국암호포럼 의장
△류동주 경찰청 국가수사본부 안보수사국 사이버안보 해킹조직연구회 위원장
△배환국 한국정보보호산업협회 수석부회장
△홍승균 에브리존 대표
△사회=유경동 보안뉴스 편집국장
◇사회=SK텔레콤 사태 발생 한달이 다 돼 간다. 최근엔 대선 국면으로 이슈가 묻히는 양상이다. 이쯤에서 중간 점검 필요해 뵌다. 시계를 되돌려 보자. 지난달 18일, SKT 내에서 첫 이상 신호가 감지됐다. 이후 초동 대처랄까. 어떻게들 보시나?
◇김용대 교수=사태 발생 이후, 대국민 안내와 홍보 부족에 대해서는 굉장히 잘못됐다고 생각한다. 고객정보 유출 자체는 큰 잘못이다. 이런 상황에서 복제폰이 생겼다는 가정 하에, 이용자들이 가장 두려워하는 부분은 ARS나 문자 인증 등을 통해 금융 관련 사고가 일어나는 것이었다. 하지만 다행히 우려했던 일은 일어나진 않고 있다. 유심 보호 서비스 가입도 빨랐다. 강제로 가입까지 시킨다. SKT가 이용자나 전문가들에게 제대로 기술적 설명을 안 해, 겪지 않아도 될 혼란과 우려 있었다. 이 부분은 짚고 넘어가야 한다.
◇사회=현재 민관 합동조사단에서 조사 진행 중이다. 합조단서 흘러나오는 얘기를 종합해보면, 사태가 생각보다 심각하다. 당초 12종의 악성코드 외 추가로 12종이 더 발견됐다. 오염된 서버 규모도 당초 예상보다 훨씬 많다. 급기야 전수조사 방식으로 전환된 상황이다. 이 정도면 최근에 발생한 공격이 아니라, 다년 간 지속적으로 이뤄진 해킹으로 보여지는데.
◇류동주 위원장=사실, 이번 공격은 전례가 있다. 해외 이동통신사를 공격한 건데, 이게 중국 해커들의 공격 방식과 유사하다. IP도 중국발로 적나라하게 찍혀 있다. 디지털오션(DigitalOcean)이라는 미국의 클라우드 컴퓨팅 서비스 제공 업체의 IP로 들어온 흔적이 그대로 있다. 중국 해커들의 공격 전형이다. BPF도어는 가상사설망(VPN)을 건너뛸 수 있다. 이 방식은 지난 2021년부터 공공연하게 쓰이고 있다. 말씀대로, 오랜 기간 공격을 이어왔을 가능성 있다. 수 년 전부터 계속 뭔가 하고 있다가, 어느 정도 되면 흔적을 지우고 나온다든지 하는 공격 패턴들이 있었다. 자세한 내용은 현재 수사 중여서 말씀드리기 곤란하다. 언론에 발표된 것보다 훨씬 많은 침해가 있는 건 많다. 조사의 범위와 기간의 확대가 불가피해 뵌다. 유출 데이터 역시 9.7GB 정도로만 한정 짓긴 어려운 상황이다. SKT 폐쇄망에 있는 대다수 서버가 공격받은 것 역시 사실로 보인다. 우려스러운 건 모방 범죄다. 언론에서도 이 부분을 감안, 적정 선을 지켜주셨으면 한다.
◇김용대=서버 개수보다, 망 구성도가 퍼졌단 게 문제다. 최근 모 국회의원이 방송에 나와, SKT 망 구성도를 까버렸다. 바로 삭제되긴 했지만, 굉장히 촘촘한 구성도가 공개된 거다. 이동통신 쪽은 제한된 인터페이스만 있어 룰 자체가 복잡할 일이 별로 없다. 서버 몇 대 털린 것보다, 각 세그먼트의 안전이 중요한 이유다.
◇류동주=인구의 절반이 직접 피해자다. 처음부터 숨기고 덮을 게 아니라, 국민을 안심시킨 상태에서 팩트를 전달해줬어야 옳다. 대기업 구조상 내부 회의가 우선이 됐던 게 초기 패착였다. 당장, 관련 유튜브 봐라. 은행 장부 다 날라간다는 듯이, 어디 전쟁난 줄 알겠더라. 사실과 다르다.
◇사회=아무리 해킹 공격 시도가 있었다 해도, 정보의 암호화만 이뤄져 있었다면 문제가 이렇게까지 커지진 않았을 것이란 결과론도 만만찮은데.
◇김호원 의장=기술적 관점에선 아쉬운 부분이다. BPF도어라는 게 사실 굉장히 강력한 모니터링 도구다. 원격으로 모니터링하는 툴을 가지고 백도어처럼 악용한다. 프로세스 페이로드상 오가는 정보를 다 긁어갈 수 있다. 하지만 미연에 암호화가 됐더라면 이를 방지할 수 있었을 것이다.
◇김용대=저는 생각이 좀 다르다. 이번에 유출된 정보는 인증용 암호키다. 이 키는 전화기 위치만 바뀌어도 인증을 새로 해야 한다. 그러면 2300만명의 사용자 정보를 암호화해 저장했다가 풀고 다시 인증하고 암호화해야 하는 걸 반복해야는데, 그건 너무 가혹하다. 사실상 불가능하다. 실제로 이동통신 표준을 봐도 HSS키 비밀정보에 대해 암호화해야 한다는 말 없다. 일반적으로 통신사의 인프라는 신뢰받는 구간이고 과거부터 내부 인프라에 대한 암호화는 없었다. 이 부분에 대해 뭐라할 건 아니라 본다.
◇김호원=암호화를 진행하면 성능 문제가 발생하는 건 맞다. 따라서 성능과 보안 사이를 계속 고민하면서 보안성을 높여야 할 것이다.
◇홍승균 대표=결국, 이번 사건도 리눅스 기반 서버에서 벌어진 사건이라는 점을 짚고 싶다. 윈도우 OS를 사용하면서 취약점이 많아 리눅스로 옮긴 건데, 리눅스에서도 이런 사건이 벌어지고 있단 점에 주목해야 한다. 최근엔 특정 파일을 심는 방식이 아니라, 기존 소프트웨어의 작동 방식을 악용하는 식으로 진화하고 있다. 특정 파일을 걸러내는 방식으로는 알 수 없다. 바이러스 백신처럼 탐지·차단하는 기존 방식 아닌, 숨겨져 있던 것들이 동작될 때 실행되는 식이니 찾기 쉽잖다.
◇사회=사태의 발단은 SKT라는 일개 이통사지만, 결국 보안업계 전체의 문제기도 하다. 협회 입장에선 이 사태를 바라보는 심정이 남다르실 듯 하다.
◇배환국 부회장=생각을 해보면 ‘SKT 해킹 사태’란 표현 자체도 문제다. 인식의 차이겠지만, 정확히 말하자면 ‘SKT 고객정보 유출 사건’이다. 이게 해킹일지, 내부 공모일지 모르는 상태에서 해킹이라고 단정짓는 것이기 때문이다. 현재까지 이 사건으로 피해를 본 고객은 안 나왔잖나. 그럼에도 피해라는 말을 쓰고, 해킹을 논하면 안된다. 보안업계 입장에서, 팩트를 정확히 하고 싶다.
◇사회=향후 재발 방지나, 말씀하신 인식의 제고를 위해서는 업계나 정부, 특히 차기 정권에선 어떠한 노력을 기울여야 하나?
◇김용대=현행 망법상 정부가 취약점 점검을 할 수 있다고 돼있다. 그런데 다른 법 조항을 보면, 이런 점검을 거부할 수도 있게 돼 있다. 뭔가 모순적이다. 실제로, 이같은 법적 충돌 때문에 최근 제로데이 취약점 점검하던 한국인터넷진흥원(KISA)이 피소된 적 있다. KISA 입장에선 선의로 한 일이지만, 결과적으론 곤욕을 치른 셈이다. 보안 관련 투자시 인센티브도 중요한데, 우린 체크리스트만 있다. 이 체크리스트가 대한민국 보안산업을 죽인다고 본다. 체크리스트에 없는 제품은 국내서 팔 수가 없다. 고객 입장에서,이 리스트에 없는 건 살 이유가 없기 때문이다. 더 좋은 걸 쓸 이유가 없으니, 결국 저가입찰 경쟁만 부추긴다. 보안업체도 새로운 제품 개발에 나설 동기 부여가 안된다. 굉장히 수동적일 수 밖에. 차기 정부는 이런 난맥을 풀어줘야 한다.
◇김호원=체크리스트에 대한 오해가 있으신 것 같다. 보안 회사들이 워낙 영세하다 보니, 최소한의 기준과 기본을 제시하고자 만들어진 것이 체크리스트다. 중요한 건 기업들 스스로 노력할 수 있게끔 제도적인 변화가 있어야 한단 거다. SKT도 결국 민간 업체다. 정부가 이래라 저래라 하기 어려운 측면 있다.
◇류동주=정권 바뀔 때마다 보안·안보 관련 조직이 조변석개 식으로 급변한다. 이래선 시장의 신뢰를 받을 수 없다. 예측가능한 정책을 기대하기도 어렵다. 최소한 보안과 안보 관련 정책만큼은 좌우, 여야를 떠나 일관된 기조를 유지해줬으면 한다.
◇배환국=각 대선 캠프에서 나오는 과학기술 관련 공약들을 보면, AI에 지나치게 경도돼 있는 느낌이다. 100조원 투자 얘기까지 나오더라. 지속 가능한 AI 발전을 위해서라도 보안은 필수나, 관련 공약은 찾기 어렵다. AI와 보안은 같은 선상에 놓고 봐야 한다.
△정리=조재호 보안뉴스 기자
△사진=최훈석 보안뉴스 기자
△영상=배범석 인더스트리뉴스 PD
[조재호 기자(sw@boannews.com)]
보안뉴스는 15일 서울 마포구 보안뉴스 대회의실에서 ‘SKT 해킹 사태의 전말과 시사점’ 좌담회를 긴급 개최했다. 이 자리에서 참석자들은 사태 초기, 기술적 안내와 대국민 홍보 측면에서 SKT의 잘못을 지적했다. 하지만, 과도한 우려나 혼란은 경계했다.
민감 정보의 암호화를 놓고는 의견이 갈렸다. 완벽 보안을 위해 암호화는 필수란 견해와 함께, 이 경우 이동통신 시스템 실가동에 물리적 걸림돌로 작용하며 보란상 실효 없단 지적이 맞섰다.
▲보안뉴스는 SKT 해킹 사태와 관련, 전문가들을 초빙해 좌담회를 가졌다. [자료: 보안뉴스]
차기 정부에 향해서도 정책 조언을 아끼지 않았다. 참석자들은 보안 관련 법적 충돌 해결과 함께, 해당 조직 및 투자에 대한 전향적 기조 등을 요구하고 나섰다.
한편, 이번 좌담회는 보안뉴스 공식 유튜브 채널(BNTV)를 통해 공개된다.
[참석자(가나다순)]
△김용대 석좌교수(KAIST)
△김호원 한국암호포럼 의장
△류동주 경찰청 국가수사본부 안보수사국 사이버안보 해킹조직연구회 위원장
△배환국 한국정보보호산업협회 수석부회장
△홍승균 에브리존 대표
△사회=유경동 보안뉴스 편집국장
◇사회=SK텔레콤 사태 발생 한달이 다 돼 간다. 최근엔 대선 국면으로 이슈가 묻히는 양상이다. 이쯤에서 중간 점검 필요해 뵌다. 시계를 되돌려 보자. 지난달 18일, SKT 내에서 첫 이상 신호가 감지됐다. 이후 초동 대처랄까. 어떻게들 보시나?
▲김용대 석좌교수(KAIST) [자료: 보안뉴스]
◇사회=현재 민관 합동조사단에서 조사 진행 중이다. 합조단서 흘러나오는 얘기를 종합해보면, 사태가 생각보다 심각하다. 당초 12종의 악성코드 외 추가로 12종이 더 발견됐다. 오염된 서버 규모도 당초 예상보다 훨씬 많다. 급기야 전수조사 방식으로 전환된 상황이다. 이 정도면 최근에 발생한 공격이 아니라, 다년 간 지속적으로 이뤄진 해킹으로 보여지는데.
▲류동주 경찰청 사이버안보 해킹조직연구회 위원장 [자료: 보안뉴스]
◇김용대=서버 개수보다, 망 구성도가 퍼졌단 게 문제다. 최근 모 국회의원이 방송에 나와, SKT 망 구성도를 까버렸다. 바로 삭제되긴 했지만, 굉장히 촘촘한 구성도가 공개된 거다. 이동통신 쪽은 제한된 인터페이스만 있어 룰 자체가 복잡할 일이 별로 없다. 서버 몇 대 털린 것보다, 각 세그먼트의 안전이 중요한 이유다.
◇류동주=인구의 절반이 직접 피해자다. 처음부터 숨기고 덮을 게 아니라, 국민을 안심시킨 상태에서 팩트를 전달해줬어야 옳다. 대기업 구조상 내부 회의가 우선이 됐던 게 초기 패착였다. 당장, 관련 유튜브 봐라. 은행 장부 다 날라간다는 듯이, 어디 전쟁난 줄 알겠더라. 사실과 다르다.
▲김호원 한국암호포럼 의장 [자료: 보안뉴스]
◇김호원 의장=기술적 관점에선 아쉬운 부분이다. BPF도어라는 게 사실 굉장히 강력한 모니터링 도구다. 원격으로 모니터링하는 툴을 가지고 백도어처럼 악용한다. 프로세스 페이로드상 오가는 정보를 다 긁어갈 수 있다. 하지만 미연에 암호화가 됐더라면 이를 방지할 수 있었을 것이다.
◇김용대=저는 생각이 좀 다르다. 이번에 유출된 정보는 인증용 암호키다. 이 키는 전화기 위치만 바뀌어도 인증을 새로 해야 한다. 그러면 2300만명의 사용자 정보를 암호화해 저장했다가 풀고 다시 인증하고 암호화해야 하는 걸 반복해야는데, 그건 너무 가혹하다. 사실상 불가능하다. 실제로 이동통신 표준을 봐도 HSS키 비밀정보에 대해 암호화해야 한다는 말 없다. 일반적으로 통신사의 인프라는 신뢰받는 구간이고 과거부터 내부 인프라에 대한 암호화는 없었다. 이 부분에 대해 뭐라할 건 아니라 본다.
◇김호원=암호화를 진행하면 성능 문제가 발생하는 건 맞다. 따라서 성능과 보안 사이를 계속 고민하면서 보안성을 높여야 할 것이다.
▲홍승균 에브리존 대표 [자료: 보안뉴스]
◇사회=사태의 발단은 SKT라는 일개 이통사지만, 결국 보안업계 전체의 문제기도 하다. 협회 입장에선 이 사태를 바라보는 심정이 남다르실 듯 하다.
◇배환국 부회장=생각을 해보면 ‘SKT 해킹 사태’란 표현 자체도 문제다. 인식의 차이겠지만, 정확히 말하자면 ‘SKT 고객정보 유출 사건’이다. 이게 해킹일지, 내부 공모일지 모르는 상태에서 해킹이라고 단정짓는 것이기 때문이다. 현재까지 이 사건으로 피해를 본 고객은 안 나왔잖나. 그럼에도 피해라는 말을 쓰고, 해킹을 논하면 안된다. 보안업계 입장에서, 팩트를 정확히 하고 싶다.
▲배환국 한국정보보호산업협회 수석부회장 [자료: 보안뉴스]
◇김용대=현행 망법상 정부가 취약점 점검을 할 수 있다고 돼있다. 그런데 다른 법 조항을 보면, 이런 점검을 거부할 수도 있게 돼 있다. 뭔가 모순적이다. 실제로, 이같은 법적 충돌 때문에 최근 제로데이 취약점 점검하던 한국인터넷진흥원(KISA)이 피소된 적 있다. KISA 입장에선 선의로 한 일이지만, 결과적으론 곤욕을 치른 셈이다. 보안 관련 투자시 인센티브도 중요한데, 우린 체크리스트만 있다. 이 체크리스트가 대한민국 보안산업을 죽인다고 본다. 체크리스트에 없는 제품은 국내서 팔 수가 없다. 고객 입장에서,이 리스트에 없는 건 살 이유가 없기 때문이다. 더 좋은 걸 쓸 이유가 없으니, 결국 저가입찰 경쟁만 부추긴다. 보안업체도 새로운 제품 개발에 나설 동기 부여가 안된다. 굉장히 수동적일 수 밖에. 차기 정부는 이런 난맥을 풀어줘야 한다.
◇김호원=체크리스트에 대한 오해가 있으신 것 같다. 보안 회사들이 워낙 영세하다 보니, 최소한의 기준과 기본을 제시하고자 만들어진 것이 체크리스트다. 중요한 건 기업들 스스로 노력할 수 있게끔 제도적인 변화가 있어야 한단 거다. SKT도 결국 민간 업체다. 정부가 이래라 저래라 하기 어려운 측면 있다.
◇류동주=정권 바뀔 때마다 보안·안보 관련 조직이 조변석개 식으로 급변한다. 이래선 시장의 신뢰를 받을 수 없다. 예측가능한 정책을 기대하기도 어렵다. 최소한 보안과 안보 관련 정책만큼은 좌우, 여야를 떠나 일관된 기조를 유지해줬으면 한다.
◇배환국=각 대선 캠프에서 나오는 과학기술 관련 공약들을 보면, AI에 지나치게 경도돼 있는 느낌이다. 100조원 투자 얘기까지 나오더라. 지속 가능한 AI 발전을 위해서라도 보안은 필수나, 관련 공약은 찾기 어렵다. AI와 보안은 같은 선상에 놓고 봐야 한다.
△정리=조재호 보안뉴스 기자
△사진=최훈석 보안뉴스 기자
△영상=배범석 인더스트리뉴스 PD
[조재호 기자(sw@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
조재호기자 기사보기
[2025-04-07] 
