SK텔레콤 침해사고 민관합동조사단은 지난 1차 발표(4월 29일)에 이어 지금까지의 조사결과를 5월 19일 2차로 발표했다.

조사단은 6월까지 SKT 서버 시스템 전체를 강도 높게 점검한다는 목표하에, 1단계 초기 발견된 BPFDoor 감염 여부 확인을 위한 리눅스 서버 집중 점검 → 2단계 BPFDoor 및 타 악성코드 감염 여부 확인을 위해 리눅스 포함 모든 서버로 점검 대상을 확대하는 방식으로 조사를 진행하고 있다. 현재까지 4차례 점검이 실시된 1단계 결과를 정리해 이번 2차 발표를 하게 되었다. 

조사단은 5월 19일 기준 총 23대의 서버 감염을 확인해 15대에 대한 포렌식 등 정밀분석을 완료하고 잔여 8대에 대한 분석을 진행함과 동시에 타 악성코드에 대해서도 탐지 및 제거를 위한 5차 점검을 진행하고 있다. 현재까지 악성코드는 25종(BPFDoor계열 24종 + 웹셸 1종)을 발견, 조치했다.

조사단은 현재까지 SKT의 리눅스 서버 약 3만대에 대해 4차례에 걸친 점검을 진행했다. 4차례에 걸친 강도 높은 조사는 1차 점검에서 확인한 BPFDoor 계열 악성코드의 특성(은닉성, 내부까지 깊숙이 침투할 가능성 등)을 감안해 다른 서버에 대한 공격이 있었을 가능성을 확인하기 위한 목적이었다. 4차 점검은 국내외 알려진 BPFDoor 악성코드 변종 202종을 모두 탐지할 수 있는 툴을 적용했다.

1~3차 점검은 SKT가 자체 점검 후 조사단이 이를 검증하는 방식으로 진행하였으며, 4차 점검은 조사단이 한국인터넷진흥원(KISA)의 인력을 지원 받아 직접 조사를 진행하였다.

조사단은 1차 조사결과에서 발표한, 유출된 유심정보의 규모가 9.82GB이며, 가입자 식별키(IMSI) 기준 2695만7749건임을 확인하였다.

또 악성코드는 1차 공지한 4종, 2차 공지한 8종외 BPFDoor 계열 12종과 웹셸 1종을 추가로 확인했다.

조사단은 1차, 2차는 악성코드 특성 정보, 3차에는 국내외 알려진 BPFDoor 계열 모두를 탐지할 수 있는 툴의 제작방법을 6110개 행정부처, 공공기관, 기업 등에 안내해 피해 확산을 방지하고자 하였다. 

과기정통부는 타 통신사 및 주요 플랫폼 기업 대상으로 유사 사고가 발생할 가능성을 대비해 사건 초기부터 긴밀한 대응을 해왔다. 과기정통부장관이 통신 3사 및 플랫폼 4개사의 보안 리더들과 만나 현 보안상황을 점검하고 향후에도 철저한 점검과 대응을 당부하였다. 또 ‘통신사 및 플랫폼사 보안점검 TF’를 운영해 타 통신사 및 플랫폼 4개사에 대해 매일 또는 주단위로 점검결과를 확인하고 있다. 이와 함께, 중앙행정기관, 지자체, 공공기관은 국정원 주관으로 점검을 진행 중으로 현재까지 민간, 공공 분야 모두 신고된 피해사례는 없다.

1차 발표 이후 공격을 받은 정황이 있는 서버는 추가로 18대가 식별되었다(현재까지 총 23대). 총 23대 중 현재까지 15대는 정밀 분석(포렌식, 로그분석)을 완료하였으며, 8대는 5월말까지 분석을 완료할 예정이다.

조사단은 서버에 저장된 파일에 총 29만1831건의 IMEI가 포함된 사실을 확인하였다. 조사단이 2차에 걸쳐서 정밀 조사를 한 결과, 방화벽 로그기록이 남아있는 기간(2024년 12월 3일∼2025년 4월 24일)에는 자료유출이 없었으며, 최초 악성코드가 설치된 시점부터 로그기록이 남아있지 않은 기간(2022년 6월 15일∼2024년 12월 2일)의 자료 유출 여부가 현재까지는 확인되지 않았다. 

조사단은 개인정보 등이 저장된 문제의 서버들을 확인한 즉시 사업자에게 정밀 분석이 끝나기 전이라도 자료가 유출될 가능성에 대해 자체 확인하고 이로 인한 국민 피해를 예방할 수 있는 조치를 강구하라고 요구하였다.

조사단은 앞으로도 침해사고 조사 과정에서 국민에게 피해가 발생할 수 있는 정황이 발견되는 경우 이를 투명하게 공개하고 사업자로 하여금 신속히 대응토록 하는 한편 정부 차원의 대응책도 강구해 나갈 계획이다.