통장까지 다 털린다?… 복제폰 공포 ‘진실 혹은 거짓’[Q&A]

[이데일리 임유경 기자] 2300만 가입자를 보유한 SK텔레콤이 해커의 공격으로 유심(USIM) 정보를 탈취당한 지 10여 일이 지났지만, 현재까지 이를 악용한 2차 피해는 보고되지 않았다. 그럼에도 불구하고, 해커가 피해자의 휴대전화와 동일한 ‘복제폰’을 만들어 금융 범죄에 악용할 수 있다는 우려는 여전히 가시지 않고 있다.

일각에서는 이번 사건을 두고 “현관 도어락 비밀번호가 유출된 상황”에 비유하며 가입자들의 불안을 드러내고 있다. 이에 따라 김용대 KAIST 교수, 김승주 고려대 교수 등 정보보호 전문가들과 과학기술정보통신부, SK텔레콤의 설명을 바탕으로 복제폰 피해 가능성과 예방 대응책을 정리했다.

[이데일리 김일환 기자]

Q. 정부 1차 조사 결과, 단말기 고유식별번호(IMEI)는 유출되지 않았다고 한다. 그렇다면 유심 복제도 불가능한 것인가?

A. 아니다. 가입자 전화번호, 가입자식별키(IMSI) 등 유심 복제에 활용될 수 있는 4종의 정보가 탈취됐기 때문에 유심 복제 가능성은 남아 있다.

Q. 탈취된 정보를 가지고 유심 복제를 하면, 복제폰을 바로 사용할 수 있는 것 아닌가?

A. 아니다. 유심에는 가입자식별키(IMSI)와 인증키 정보가 들어 있지만, 단말기 고유식별번호(IMEI)정보는 휴대폰 안에만 존재한다. 통신사는 서버에 저장된 유심 정보와 IMEI 정보를 대조해 일치 여부를 확인한다. 해커는 IMEI를 모르는 상태이기 때문에 복제 유심을 꽂아 네트워크에 접속을 시도하면 통신사에 의해 발각될 수 있다.

Q. 유심 정보를 관리하는 서버에 주민등록번호나 자택 주소 같은 개인정보도 저장돼 있나?

A. 아니다. 유심 정보는 홈서비스서버(HSS)에서 관리되며, 여기에 저장되는 것은 가입자 식별과 인증에 필요한 정보뿐이다. 주민등록번호나 주소 같은 일반 개인정보는 포함되지 않는다. (이 부분은 개인정보보호위원회가 추가로 확인 중이다.)

가입자 유심(USIM) 정보를 탈취당한 SK텔레콤이 유심 무료교체 서비스를 시작한 28일 경기도 수원시 한 SK텔레콤 PS&M 직영점에서 시민들이 유심 교체를 위해 줄을 서 차례를 기다리고 있다. (사진=연합뉴스)

Q. 유심 정보 유출은 ‘현관 도어락 비밀번호 유출’과 같은 위협이라는 말이 있다. 맞나?

A. 그렇지 않다. 복제 유심을 만들어도 네트워크에 정상 접속하지 못하면 해커가 할 수 있는 것은 없다. 복제 유심을 통한 네트워크 접속까지 성공해야 도어락 비밀번호 유출 수준의 위협으로 볼 수 있다.

Q. 복제 유심만으로는 큰 위협이 아니라면, 유심보호서비스에 가입하는 것만으로 안전한가?

A. 그렇다. 유심보호서비스는 등록된 단말기가 아닌 다른 기기에서 고객 명의로 네트워크 접속을 시도할 경우 이를 차단한다. 단말기 정보는 유출되지 않았기 때문에 복제 유심만으로는 네트워크에 붙을 수 없으며 유심보호서비스만으로 방어가 가능하다.(이 부분은 과학기술정보통신부도 확인했다.)

유심보호서비스 예약 완료

Q. 유심보호서비스에 가입하지 않은 상태에서 복제 유심이 활성화되면 어떤 문제가 생기나?

A. 같은 유심 정보를 가진 두 대의 휴대폰이 네트워크 접속을 시도하면서 내 휴대폰이 네트워크에서 자주 끊기거나 꺼져 있을 경우 해커가 네트워크에 연결될 수 있다. 이 경우 해커가 문자나 전화를 가로채 인증코드를 탈취하고, 각종 사이트의 비밀번호를 재설정하는 피해가 발생할 수 있다.

Q. 유심보호서비스에 가입하면 해외 로밍은 사용할 수 없나?

A. 맞다. 현재는 로밍이 제한된다. SK텔레콤은 5월 중 로밍 기능을 추가하겠다고 밝혔지만, 지금은 로밍을 이용하려면 유심보호서비스를 해지해야 한다. 또한 기존 유심을 공기계 등에 꽂아 쓰려면 역시 사전에 서비스를 해지해야 한다.

Q. 유심을 교체하고 싶은데 재고가 없다고 한다. 이심(eSIM)으로 교체할 수 있나?

A. 맞다. 이심은 물리적인 유심 없이 스마트폰에 내장된 칩을 통해 동일한 기능을 수행한다. SK텔레콤 T다이렉트샵 ‘eSIM 셀프가입’ 메뉴를 통해 무료로 전환할 수 있다. 다만, 이심을 지원하는 휴대폰이어야 한다. 애플은 아이폰XS 이후, 삼성전자는 갤럭시 S23, Z 플립·폴드4, 퀀텀4, A35 5G 이후 모델부터 지원된다.