SK텔레콤 침해사고 조사결과 공개

SK텔레콤 해킹사고의 조사결과가 공개되었습니다.

SK텔레콤 침해사고

SK텔레콤의 해킹사고의 2차 조사결과가 나왔습니다. 

SK텔레콤은 지난 4월 19일 오후 11시경 해커가 내부 시스템에 악성코드를 심고, 고객 유심 정보 일부를 탈취한 정황을 확인했다고 알렸는데요. 회사는 즉시 추가 피해 방지를 위한 후속 조치를 취하고, 시스템 전반에 대한 정밀 조사를 진행 중이었습니다.
SK텔레콤 해킹 사고는 2년 전 LG유플러스의 해킹 사건 이후 또다시 국내 주요 통신사에서 발생한 보안 사고였는데요.

기사에 알려진 것처럼 HSS서버가 해킹당한 것으로 알려졌습니다.

HSS 서버는 이동통신망에서 중심이 되는 망인데요. 기본적인 가입자 관리를 진행하는 서버입니다.

Home Subscriber Server(HSS)는 가입자 정보(위치정보, 인증정보, 서비스 정보 등)를 관리하는 시스템으로 알려져 있고, 여기에서 가장 중요한 것은 유심 처리인데요.

유심(USIM)은 휴대전화가 통신사 네트워크와 연결되도록 하는 칩으로, 회선 전화번호, 가입자 식별번호, 인증 키 등이 저장되어 있는 가입자를 확인하는 시스템입니다.

SK텔레콤은 당시 정보 유출 사실을 확인하고 악성코드를 즉시 삭제하고, 해킹이 발생한 장비를 격리 조치했으며, 현재까지 해당 정보가 실제로 악용된 사례는 없다고 밝혔습니다. 또한 불법 유심 기기 변경 및 비정상 인증 시도 차단 시스템을 강화하였는데요.

그리고 한달여가 지난 5월 19일 2차 조사결과가 공개되었습니다.

SK텔레콤 해킹 2차 조사결과

이번 2차 조사에서는 악성코드가 4종이 아닌 21종이 추가된 총 25종이 나왔습니다.

그리고 감염서버도 5대에서 18대가 늘어난 23대가 되었습니다. 그리고 IMEI값을 가지고 있는 서버도 있었다고 합니다.

그리고 해킹된 정보는 약 9.82GB에 달하는 정보라고 하는데요.

이번 해킹에는 BPF도어 악성코드가 사용된 것으로 나타났는데요. BPF(Berkeley Packet Filter)는 리눅스 운영체제에서 네트워크 패킷을 필터링하는 기술로, 일반적으로 네트워크 모니터링이나 방화벽에 사용됩니다.

하지만 BPF도어 악성코드는 이 메커니즘을 악용해 특정 신호(매직 패킷)를 수신하면 활성화되는 은밀한 백도어라고 할 수 있습니다.

일반 보안 시스템이나 방화벽을 우회하고, 외부 해커가 서버에 직접 명령을 전달할 수 있는 리버스 쉘, 바인드 쉘 등을 제공합니다.

BPF 악성코드는 서버에 잠복해 있다가, 공격자가 보내는 매직 패킷을 통해 작동합니다. 최신 버전은 복제·자가 삭제 기능이 제거되었고, 정상 프로세스처럼 위장해 탐지가 더욱 어려워졌습니다. 리눅스 기반 서버가 주요 표적이며, 이번 사건도 SKT의 리눅스 서버가 집중 점검 대상이 되었습니다.

SK텔레콤 최초 해킹 

민관 합동 조사에 따르면 최초 감염은 2022년 6월로 추정된다고 합니다. 글로벌 보안 기업 트렌드마이크로는 중국 정부 배후의 해킹 조직 '레드 멘션(Red Menshen)'이 유력하다고 분석했습니다.

이 조직은 한국을 비롯해 홍콩, 미얀마, 말레이시아, 이집트 등지의 통신·금융·리테일 인프라를 공격해 왔습니다. 다만, BPF도어는 오픈소스로 누구나 사용할 수 있기 때문에, 실제 공격 주체가 레드 멘션이라는 확정은 어려운 상황입니다.

또한 이번조사에서 SK텔레콤은 가입자 정보를 관리하는 HSS(Home Subscription Server) 시스템 보안 패치를 마이크로소프트 애저(MS Azure) 기반 솔루션에 의존해 왔다는 것이 공개되었는데요. 현재 MS가 제공하는 클라우드 보안 도구는 '접속 이후' 단계에 집중돼 있어 공격자가 '접속 이전' 구간을 공략할 경우 방어가 어려운 것이 한계입니다. 이번 유심(USIM) 해킹은 바로 이 틈을 노린 것으로 파악됩니다..

MS 애저 보안 센터(Security Center)에는 비정상적인 API 호출을 감지해 경보를 발신하는 기능이 존재합니다. 이번 사건의 핵심 문제는 MS 애저측의 경보가 클라우드 운영팀 내부 채널에만 머물다 중앙 라인(SOC)로 실시간 보고되지 않은 점인데요. 그럼에도 자체 방어 실패를 외부로 전가시키려다 HSS 패치를 세 분기나 뒤로 미룬 정황이 포착되기도 했다고 합니다.

2012년 KT의 고객 870만명 개인정보 해킹부터 2025년 SKT 유심해킹까지 통신사 해킹은 지속적으로 발생하는데요.

재발 방지를 위한 대책이 강구되어야 할 것입니다.

그럼 즐거운 하루보내세요