SK텔레콤 침해사고에 대한 민관합동조사단(이하 ‘조사단’)은 5월 19일, 지난 1차 발표(4월 29일)에 이은 2차 조사결과를 공개했다. 조사단은 현재까지 총 23대의 서버에서 25종의 악성코드 감염을 확인했다.
조사단은 1단계 조사(4.19~5.14)를 통해 리눅스 서버에 집중하여 BPFDoor 계열 악성코드 여부를 점검했으며, 이후 2단계 조사(5.14~6월 말)로 모든 서버로 대상을 확대해 악성코드 유무를 점검 중이다. 현재까지 4차례 점검을 통해 리눅스 서버 약 3만 대를 분석했으며, 4차 점검에는 국내외 BPFDoor 악성코드 변종 202종을 탐지할 수 있는 도구가 활용되었다.
총 25종의 악성코드 발견… 개인정보 포함된 감염 서버 2대 확인
이번 조사에서는 BPFDoor 계열 24종, 웹셸 1종 등 총 25종의 악성코드가 발견되어 조치됐다. 감염된 서버 23대 중 15대는 포렌식 및 로그 분석을 완료하였으며, 나머지 8대에 대해서는 5월 말까지 정밀 분석을 마칠 예정이다.
특히 정밀 분석이 완료된 서버 중 개인정보를 일시 저장한 서버 2대가 확인되었으며, 이 서버는 통합고객인증 시스템과 연동된 서버로, 고객 인증 과정에서 수집된 IMEI(단말기 고유식별번호), 이름, 생년월일, 전화번호, 이메일 등이 저장되어 있던 것으로 파악됐다.
이 과정에서 조사단은 해당 서버에 저장된 파일에서 총 291,831건의 IMEI 정보가 존재함을 확인했다. 다만, 방화벽 접속 로그가 존재하는 최근 기간 내에서는 자료 유출이 없었으나, 로그가 남아있지 않은 시점(2022.6.15.~2024.12.2.)의 자료 유출 여부는 확인되지 않은 상태다.
유출된 유심정보는 9.82GB… 가입자 식별키 2,695만여 건
조사단은 앞서 1차 발표에서 확인된 유출 규모로 9.82GB에 이르는 유심정보, 그리고 총 2,695만 7,749건의 IMSI(가입자 식별키) 유출을 확인했다. 복제폰 우려와 관련해 조사 초기에 IMEI 정보가 저장된 서버 38대를 우선 점검했고, 이들은 감염되지 않았음이 확인됐다. 이후 정밀 분석 과정에서 감염 서버 중 일부가 IMEI 정보를 임시로 저장했던 것으로 밝혀졌다.
정부, 통신·플랫폼사 대상 보안 강화… 피해사례는 아직 없어
정부는 이번 사태의 확산을 방지하기 위해 통신 3사 및 주요 온라인 플랫폼 기업 4개사를 대상으로 보안 점검 TF를 구성(5.12.~)하여 매일 또는 주간 단위로 점검을 진행 중이다. 현재까지 민간·공공 부문에서 신고된 피해사례는 없다.
조사단은 관련 정보들을 개인정보보호위원회에 통보(5.13)하고, 동의를 얻어 확보된 서버 자료도 공유(5.16)했다. 조사단은 국민 피해 가능성이 있는 정황이 확인될 경우 이를 투명하게 공개하고 사업자에 신속한 조치를 요구하겠다고 밝혔다.
BPFDoor 악성코드, 민간·공공기관 대응 필요… KISA 보안공지 공지
한편, 한국인터넷진흥원(KISA)은 해당 악성코드의 특성과 탐지 방법, 예방 조치 방안 등을 정리한 보안공지를 통해 전국 6,110개 행정기관, 공공기관, 민간 기업에 배포했다.
특히 해당 보안공지는 BPFDoor 악성코드의 은닉성과 내부 확산 특성을 감안하여, 리눅스 기반 시스템을 운영하는 기관 및 기업의 신속한 점검과 대응을 권고하고 있다.
※ 본 자료는 과학기술정보통신부 ‘민관합동조사단, SKT 침해사고 조사결과 2차 발표’ 보도자료(2024.5.19.)를 바탕으로 작성되었습니다.
댓글
0