SK텔레콤, 해킹당한 HSS가 뭐야···얼마나 위험해?

최근 SK텔레콤의 핵심 통신 인프라인 HSS(홈 가입자 서버, Home Subscriber Server)가 해킹당했다. 앞서 KT와 LG유플러스 등이 대규모 해킹 사태로 내홍을 겪은 바 있지만 HSS가 털려서 유심(USIM) 정보가 유출된 사례는 SK텔레콤이 최초인 것으로 알려졌다.

HSS는 사용자의 신원과 서비스 권한 등을 확인하고 인증하는 데 사용되는 핵심 인프라다. HSS에는  이동가입자식별번호(IMSI), 단말기 고유식별번호(IMEI), 유심 인증키 등이 저장됐다.

보안 전문가들은 HSS 서버의 역할과 해킹 시 초래할 수 있는 위험성에 대해 큰 우려도 제기하고 있다. HSS는 이동통신망의 심장과 같은 존재로, 여기에 침입이 발생하면 통신망 전체가 흔들릴 수 있다.

12일 업계에 따르면 국회 과학기술정보방송통신위원회 위원장 최민희 의원(더불어민주당)은 SK텔레콤 HSS와 인증키 저장 시스템이 정보통신기반보호법상 주요 정보통신 기반 시설로 지정되지 않아 관리 사각지대에 있었다고 지적한 바 있다.

최민희 위원장은 "HSS, 유심 등 핵심 서버는 국민 개인정보와 통신 안전을 지키는 국가적 기반임에도 현행 제도에 허점이 있었다"며 "정부와 통신사는 즉시 기반시설 지정·관리 체계를 전면 재점검하고 실질적인 보호 대책을 마련해야 한다"고 강조했다.

HSS는 4G LTE와 5G 네트워크에서 가입자 정보를 통합 관리하는 중앙 데이터베이스다. 사용자 식별, 인증, 위치 정보, 서비스 프로파일 등 이동통신 서비스 제공에 필수적인 거의 모든 정보가 이 서버에 저장된다. 사용자가 통신 서비스를 정상적으로 이용할 수 있도록 모든 것을 조율하는 '두뇌' 역할을 한다.

이 서버가 멈추거나 오작동하면 단말기의 기지국 연결, 인증, 통화, 문자 등 기본적인 통신 서비스조차 제공이 불가능해질 수 있다.

이번 SK텔레콤 사건에서 특히 심각한 점은 HSS에 저장된 '가입자 인증키'가 포함된 유심 데이터가 외부로 유출됐다는 점이다. 이 인증 키는 사용자가 자신이 '정당한 가입자'임을 증명하는 열쇠다. 만약 이 키가 해커 손에 넘어가면 다음과 같은 위험이 현실이 된다.

심카드 복제 및 전화번호 탈취가 가능하다. 유출된 인증 키를 이용해 피해자의 심을 복제하거나, 통신사를 속여 번호를 탈취하는 '심 스와핑'이 가능해진다. 또한 통화·문자 도청 문제도 제기된다. 복제된 심을 통해 통화 내용, 문자 메시지를 실시간으로 가로챌 수 있다. 특히 2단계 인증 메시지가 위험하다.

금융·온라인 사기도 문제다. 가로챈 인증 메시지를 바탕으로 은행, 증권, 암호화폐 지갑 등 각종 서비스에 무단 접속해 금전적 피해를 줄 수 있다. 신원 도용·사생활 침해 우려도 제기된다. 유출된 정보로 신분을 도용하거나, 피해자를 대상으로 한 스토킹이나 협박 등의 2차 범죄로 이어질 수 있기 때문이다.

앞서 과기정통부 민관 합동 조사단의 조사 결과에 따르 SK텔레콤 HSS에서 유출된 정보는 가입자 전화번호와 가입자 식별키(IMSI) 등 모두 25종이다. 이 중 사용자의 단말기 고유식별번호(IMEI)는 유출되지 않은 것으로 알려졌다. 

이에 따라 유심 보호 서비스에 가입하면, 현재 유출된 정보 종류만 가지고는 복제 유심으로 다른 단말기를 사용해 범죄를 저지르는 '심 스와핑'은 막을 수 있는 것으로 알려졌다. 또한 현재까지 SK텔레콤 유심 정보 유출로 인한 직접적인 피해가 발생하지는 않은 것으로 알려졌다.

다만 그럼에도 이번 사건을 통해 HSS가 단순한 정보 저장소가 아닌, 통신 서비스와 보안을 통제하는 핵심 인프라라는 점을 다시금 일깨워줬다. HSS가 해킹당하면 피해는 단순한 개인 정보 유출을 넘어, 사회 전반의 통신망 신뢰와 금융 보안에까지 타격을 줄 수 있다.

지난 8일 개인정보보호위원회는 "유출 경로가 된 주요 시스템에 악성 프로그램 방지를 위한 보안 프로그램이 설치되지 않았던 점을 확인했다"며 "이는 개인정보보호법상 기술적·관리적 보호조치 의무를 위반한 소지가 있다"고 밝혔다.

개인정보위는 "휴대전화 번호가 유출되는 경우 정보주체를 대상으로 보이스피싱·스미싱·스팸 등 공격에 악용될 수 있다"며 "인증에 필요한 IMSI 및 유심 인증키의 유출은 휴대전화를 통한 각종 서비스의 본인인증이 일상화된 상황에서 국민의 일상생활에 중대한 영향을 미칠 수 있다”고 설명했다.