"SKT 사태의 본질은 한국의 디지털 실명 기반 인프라 전체가 '적성 디지털 군집체'(Hostile Digital Swarm Entity)의 위협에 노출됐다는 데 있다. 즉 '복제된 자아'가 정상 사용자로 위장해 정부와 대기업 시스템에 접속하는 상황이 현실화됐다는 것이다." - 해외 정보기관 핵심 관계자

전국적으로 SK텔레콤 해킹 여파가 확산하는 가운데 최태원 회장의 유심이 가장 높은 위험에 노출돼 있다는 우려가 제기된다. SK텔레콤측은 "최 회장도 유심 교체 없이 보호서비스에 가입했다"며 가입을 독려했지만 보안 전문가들은 “해킹 수법의 특성상 해당 서비스로는 차단이 불가능하다”는 의견이다.

2일 여성경제신문 취재를 종합하면 유상임 과학기술정보통신부 장관이 "유심보호서비스에 가입하면 심스와핑이 방지된다"고 발언한 것이 논란을 낳고 있다. 정부가 낙관적인 메시지를 반복해 내놓는 것은 국민의 위기의식을 희석시키고 실질적인 대응을 지연시키는 결과로 이어질 수 있다는 비판이다. 

국제 해커조직 라자루스 및 UNC 계열이 사용하는 클론 방식의 해킹은 ‘누가 접속했는지’보다 ‘어떤 기기인가’에 초점이 맞춰진 기존 보안 체계의 구조적 맹점을 정면으로 파고든다. 대부분의 통신사 보안 시스템은 네트워크 접속 이후 활동을 기반으로 이상 여부를 탐지하는데 클론 유심 공격은 이전 단계에서 통신망 인증을 재현해 ‘정상 기기’로 위장 접속하기 때문에 탐지 자체가 불가능에 가깝다.

다시 말해 SKT 유심보호서비스는 해커가 가입자 정보를 사전에 확보한 뒤 다른 기기에서 인증하는 클론 해킹에 대해 사후적으로도 대응할 수 없는 구조다. 가입자 정보를 탈취해 생성된 클론 유심이 작동을 시작하면 이후에 유심을 교체하거나 유심보호서비스에 가입하더라도 이미 로그인 상태로 활성화된 세센을 차단할 기술적 수단이 없다는 것이 방첩 전문가들의 공통된 지적이다.

마찬가지로 최태원 회장의 유심 역시 이미 복제된 상태라면 해커는 사전에 확보한 가입자 식별번호(IMSI)와 인증키(Ki)를 바탕으로 SK그룹의 내부 시스템에까지 접근할 수 있게 된다. 실제 많은 금융지주와 대기업들은 임원의 휴대전화를 업무용 콘솔처럼 활용하고 있으며 VPN(Virtual Private Network) 방식으로 회사 내부망에 접속해 경영자료 열람, 결재 승인, 심지어 보안 시스템 관리까지 수행하는 구조다.

해커가 클론 유심을 이용해 내부망에 침투하더라도 명확한 로그를 남기지 않고 정보에 접근할 수 있는 위험성이 존재한다. 결국 최 회장과 같은 VIP 인사의 유심은 해커의 입장에서 가장 먼저 노릴 수밖에 없는 '1순위 표적'이다. 클론 유심이 한 번 생성되면 복제된 자아는 '정상 기기’로 위장해 내부 시스템에 접속하고, 민감 정보를 탐색하거나 탈취하는 데 제약이 없다. 피해자조차 자신이 해킹당했음을 인지하지 못한 채 장기간 정보가 유출될 수 있다는 점에서 치명적이다.

SKT 유심보호서비스는 '접속 이후'를 기준으로 설계된 체계다. 그러나 클론 유심을 활용한 공격은 인증정보가 유출되는 '사전 단계'에서 이미 완료된다. 하지만 정부는 SKT 유심보호서비스만으로 모든 문제가 해결된다는 식의 안일한 인식을 반복하며 정작 클론 해킹 대책 마련은 방치하고 있다.

특히 공공기관은 유심 정보를 직접 수집하지 않지만 대부분의 내부 시스템은 통신사 인증을 기반으로 외부 기기의 접속 여부를 판단한다. 이때 유심이 복제된 스마트폰이 접속하면 시스템은 별다른 의심 없이 '등록된 정상 기기'로 간주한다. 이는 보안 인프라가 '사용자 인증'보다 '기기 인증'에 지나치게 의존하고 있다는 구조적 한계를 드러낸다.

문제는 이러한 허점을 민간 차원에서 예방하거나 실시간으로 대응하기 어렵다는 데 있다. 디지털 실명 기반 인증 시스템의 근간이 흔들린 상황에서 기업의 자율적 조치만으로는 한계가 분명하다는 지적이다. 재계 한 핵심 관계자는 "이번 사건에서 가장 먼저 점검해야 할 대상은 정부 및 기업 기밀에 접근 가능한 VIP 유심의 위협 수준"이라며 "국가 개조 수준의 디지털 인증 체계 개편과 사이버 테러 대응 체계 구축이 시급하다"고 강조했다.

여성경제신문 이상헌 기자 
liberty@seoulmedia.co.kr