추가조사에서 2022년 6월 이전 해킹 흔적 발견 
과기정통부 "해커 공격 시점 조작 가능성 조사 중"

서울 시내 SKT 직영점 모습. /사진=뉴스1

과학기술정보통신부가 SK텔레콤이 악성코드에 최초 감염된 시점이 3년 이전일 가능성에 대해 조사 중이다.

17일 정부에 따르면 과기정통부 민관합동조사단 조사 결과 2022년 6월 이전에도 SKT 서버에 해킹 공격이 있었던 것으로 나타났다.

지난달 민관합동조사단은 SKT에 악성코드가 최초 설치된 시점이 2022년 6월 15일이라고 발표했다. 웹 서버를 원격 조종할 수 있는 '웹셸'이 처음 침투한 후 'BPF도어' 계열 24종이 심어졌다는 것이다. 그러나 추가조사에서 그보다 이전의 해킹 공격도 발견된 것이다. 다만 조사단은 해커가 공격 시점을 조작했을 가능성을 살펴보고 있다.

과기정통부 관계자는 "2022년 6월 15일 이전에 악성코드가 침투했을 가능성은 있다"며 "악성코드가 감염된 SKT 서버는 모두 복사해 포렌식을 진행 중이다. 해커가 악성코드를 설치·실행하면 서버에 흔적이 남는데 포렌식으로 이를 살펴보며 조작 여부를 검토 중"이라고 말했다. 

━

악성코드 25종서 확대되나…"CDR 유출 없어"

━

SKT 해킹 민관합동조사단 결과 발표/그래픽=윤선정

SKT 서버에서 발견된 악성코드가 25종에서 확대됐을 가능성도 제기된다. 김승주 고려대 정보보호대학원 교수는 "최근 기관 등에 신규 악성코드 5종에 대한 탐지 프로그램이 배포돼 민관합동조사에서 추가 악성코드가 발견됐을 수 있다"고 말했다.

한국인터넷진흥원(KISA)은 지난달 12일 이후로 SKT 해킹사고와 관련된 악성코드를 '보호나라 보안공지'에 추가 공개하지 않았다. 악성코드가 추가되지 않았을 수 있지만, BPF도어처럼 새로운 유형이 아니라 국내 이미 알려진 악성코드일 경우 민관합동조사단에서 KISA에 보안공지를 요청하지 않을 수도 있다. 과기정통부 관계자는 "신속히 전파해야 할 악성코드였다면 이미 보안공지 했을 것"이라고 말했다.

2022년 6월 이전에 SKT 서버에 악성코드가 심겼다면 최소 4년간 해킹이 이뤄진 셈이다. 그런데도 현재까지 다크웹에서 개인정보를 거래하거나 금전화하려는 시도가 없다는 점에서 국가 간 사이버전 주장에 힘이 실린다. 심영섭 구글클라우드 맨디언트 컨설팅 한국·일본 지역 총괄은 최근 간담회에서 "통신사 해킹 시 수집된 정보가 다크웹에서 거래되는 경우는 많지 않다"며 "금전적 이득보단 국가 차원의 스파이 활동일 수 있다"고 분석했다. 현재 서울경창청 사이버수사대가 해킹 배후를 밝히기 위해 3개국 수사기관과 공조 중이다.

정부 고위층의 통화 상대와 동선을 파악할 수 있는 CDR(통화상세기록)을 노렸다는 분석도 잇따른다. 다만 과기정통부와 SKT 모두 "CDR은 유출되지 않았다"고 강조했다. SKT는 CDR을 암호화했다는 입장이지만, 개인정보보호법상 암호화 기준에 부합하는 수준인지는 언급하지 않았다.

한편 민관합동조사단은 이달 말까지 SKT 해킹 사고에 대한 최종 조사 결과를 발표할 예정이다.

윤지혜 기자 yoonjie@mt.co.kr

Copyright © 머니투데이 & mt.co.kr. 무단 전재 및 재배포, AI학습 이용 금지.