SK텔레콤 유심 해킹 사태와 국내 통신 보안의 구조적 위협

• 침해사고의 본질과 위험 요소
  • SK텔레콤 서버에 대한 침입은 3년 전부터 이뤄졌으며, 악성코드가 점진적으로 진화된 형태로 발견됨
  • IMEI 등 식별정보 유출에 대한 단정은 어려우며, 악성코드가 설치된 서버에 임시 저장되었다는 정황만 존재
  • 침해사고 당시 로그 부재로 정확한 피해 범위와 유출 정보의 경로 확인이 곤란한 상태
  • 유심(USIM) 정보 외에도 공격자가 노린 정보가 있을 가능성 존재
• 보안 대응의 구조적 문제
  • 침해사고에 대한 조기 탐지 및 대응 실패는 단순한 기술적 한계가 아닌 구조적 대응 체계의 미비로 해석됨
  • 정보보호 임원의 겸직 문제, 실무 중심 조직 편제, CISO(CISO, Chief Information Security Officer) 및 CPO(CPO, Chief Privacy Officer)의 독립적 역할 부재가 보안 리스크로 작용
  • 정보보호 투자액 자체보다는 투자 구성과 내역의 질적 검토가 필요함
• 규제 환경과 기업 보안 인식 문제
  • 기업의 보안 투자가 정부 규제를 ‘상한선’으로 인식하는 구조가 만연하며, 사고 이후 대응 비용이 낮아 선제적 투자 유인이 부족
  • 인증 이행이 실질적 보안 수준과 무관하게 기업의 정당화 도구로 활용되고 있음
  • 개인정보 유출 관련 벌금 수준이 낮아 사고 발생 비용이 예방 비용보다 낮다는 구조적 문제 존재
• 보안 생태계의 질적 성장 필요성
  • 상시적 취약점 공개 수배 제도(버그바운티) 부재로 외부 전문가 참여 부족
  • 외부 보안 컨설팅 역시 정량적 기준(횟수) 중심으로 운영되어 실효성 저하
  • 정보보호 공시제도의 실효성이 부족하며, 활동 내역과 결과 기반의 피드백 체계 부재
• 결론
  • 단편적인 유심 정보 유출에만 초점을 둘 것이 아니라, 침해지표 확대와 근본적 원인 분석이 병행돼야 함
  • 정보보호 투자 유도와 효과적 공시제도 운영을 위해 정책 및 규제 전반의 정비 필요
  • 선제적 보안 투자를 유도할 수 있도록 침해사고에 대한 처벌 수위 및 법적 책임 기준 강화 필요
  • 정보보호 임원 독립성 확보, 인력 수급 생태계 조성, 외부 협력(버그바운티 포함)을 통한 보안 체계의 질적 강화가 필요함

[SK텔레콤 해킹①]‘유심 해킹’에 매몰된 여론...또 다른 위협 충분히 존재

[SK텔레콤 해킹①]‘유심 해킹’에 매몰된 여론...또 다른 위협 충분히 존재

 

[SK텔레콤 해킹②] 사고 처벌 수위 높여 ‘선제적 보안 투자’ 이끌어 내야

[SK텔레콤 해킹②] 사고 처벌 수위 높여 ‘선제적 보안 투자’ 이끌어 내야