SKT 유출 대응을 중심으로 살펴본 개인정보보호 교육의 필요성

[보안뉴스= 최기근 한국교육과정평가원 연구원] “당신은 누구입니까?” 이 질문은 디지털 사회에서 가장 빈번하면서도 가장 본질적인 물음이다. 우리는 오늘도 은행 앱에 접속하기 위해, 정부24 사이트를 이용하기 위해, 심지어 SNS에 로그인하기 위해 이 질문에 답하고 있다. 답하는 방식은 다양하다. 비밀번호, 인증서, 휴대전화 번호, 생체 정보, 디지털 원패스, 패스워드리스(passwordless) 등 많다. 그러나 정작 중요한 것은 어떻게 인증하느냐가 아니라, 이 인증체계가 얼마나 안전하고, 신뢰 가능한가에 있다.


[자료: gettyimagesbank]

본인확인 인증 서비스는 이제 단순한 편의 도구가 아니라 디지털 사회의 관문이자, 오프라인의 신분증과 같은 역할을 수행하고 있다. 여기에서는 인증 서비스의 현황과 위험성, 그 교육적 대응 방향을 중심으로 개인정보보호 교육의 의의를 다시 조명하고자 한다.

우리는 어느덧 데이터가 공기를 대신해 흐르는 시대에 살고 있다. 스마트폰 속 손끝 하나로 문을 열고, 대화를 나누며, 물건을 사고 파는 일이 일상이 되었다. 인간의 삶이 디지털이라는 물결 위에 부유할수록 우리는 그만큼 스스로를 더 많이 ‘드러내는 존재’가 되었다. 이름, 생년월일, 주소, 계좌번호, 심지어 움직임과 목소리까지. 데이터는 인간의 또 다른 자아가 되었지만, 그것은 종종 지켜지지 못하고 허공에 흩어진다. 이러한 현실 속에서 개인정보보호는 더 이상 선택이 아닌 생존의 전제가 되고 있다.

개인정보보호위원회(개인정보위)는 디지털 시대 자신의 개인정보에 대한 주인으로서 권리를 행사하고 안전하게 보호받을 수 있는 환경 조성을 위해 노력해 왔다. 이는 개인정보의 자기결정권을 스스로 인식하게 하고, 나아가 디지털 공간에서 자기 자신을 지키는 힘을 키워주는 과정이다. 이런 점을 고려해 개인정보위 전문강사 제도를 운용하고 있으며, 취약계층을 포함한 개인정보처리자를 대상으로 개인정보에 대한 주체적 인식과 권리 보호를 위해 법정 의무교육 시행 및 희망하는 초·중·고 학교 대상으로 개인정보위 전문강사를 파견해 교육을 받을 수 있도록 하고 있다. 개인정보보호 교육은 단지 제도를 설명하는 것을 넘어, 정보화 시대의 시민성을 기르는 교육적 실천이 되어가는 것이다.

디지털 시대의 이면에서 가장 날카로운 그림자는 ‘보이스피싱’이라는 이름으로 나타난다. 처음에는 수사기관을 사칭하는 단순한 전화사기로 시작된 이 범죄는 이제 고도로 진화한 사회공학적 기법, AI 딥페이크, QR코드 피싱(Qshing) 등을 동반하며 전방위적으로 확산하고 있다. 그 대표적 사례가 최근 발생한 SK텔레콤 유심(USIM) 해킹 사고와 이를 악용한 보이스피싱, 이메일 피싱, 스미싱, 큐싱의 확산이다.

이번 SK텔레콤 유심(USIM) 해킹 사건은 많은 사람들에게 충격을 안겼다. 민관합동 조사단의 1차 조사 결과에 따르면, 이번 사고에서는 가입자 식별번호, 고유 인증키 등 유심 복제가 가능한 정보들이 유출되었다. 다행히 단말기 고유식별번호(IMEI)는 빠져나가지 않았다고는 하지만, 이론적으로 유심 복제가 가능해졌다는 점에서 국민의 불안과 우려는 커지고 있다. 이런 증폭된 사회적 불안과 우려는 또다시 ‘보이스피싱’의 좋은 먹잇감으로 정보주체의 피해를 확대 양산하고 있다.

단순한 해킹 사고를 넘어, 가장 우려하는 디지털 신원인증을 도용할 수 있는 사태가 발생한다면 범죄자가 나의 모든 권리를 탈취하고 나아가 내가 나임을 입증할 수 없는 극도의 디지털 팬데믹 상황이 발생할 수 있다.

특정 인증 수단에 과도하게 의존한 구조가 얼마나 위험한지를 보여주는 사회적 경고였고, 신원인증이 조작될 수 있음을 전 국민이 우려하게 되는 사태가 발생하게 되었다. 디지털 사회가 ‘신뢰’를 기반으로 작동하는 만큼 본인확인 체계 전반을 다시 점검할 필요가 있다. 사람들의 불안한 심리를 정밀하게 계산한 사회공학적 공격도 예상대로 뒤따랐다.

“유심을 바꿔야 한다”, “보안 점검을 도와주겠다”는 내용의 메시지로 시작된 이 피싱은, 신뢰를 가장한 디지털 사기극이었다. 한국인터넷진흥원(KISA)은 이와 관련해 “SKT 해킹 이슈를 악용한 ‘악성 앱 설치’와 ‘보이스피싱 시도’가 포착됐다”고 경고했다. 피해자는 해당 문자를 클릭하면 악성 앱을 설치하게 되고, 이로 인해 스마트폰이 원격으로 조작될 수 있으며, 개인정보는 물론 금융정보까지 유출될 수 있다.

실제로 해커들은 정부기관이나 SKT를 사칭하며 사용자의 심리적 허점을 파고들었다. ‘보안 점검 요청’, ‘사고 접수 필요’ 등을 이유로 사용자에게 연락을 취하고, 가짜 고객센터로 유도하거나 원격제어 앱 설치를 권유하는 방식으로 정보를 갈취했다. 이들은 전화나 문자, 또는 압축파일 형태로 악성 앱을 유포했으며, 심지어는 ‘피해구제국’, ‘SK쉴더스’처럼 공공기관과 관계 회사를 연상시키는 명칭을 사용해 사용자의 신뢰를 유도했다.

사이버 위협은 문자 메시지에만 국한되지 않는다. KISA는 최근 자신들의 이름을 사칭한 악성 이메일도 유포되고 있다고 밝혔다. 예컨대 ‘KISA알림.pdf.lnk’라는 첨부파일이 포함된 피싱 메일은, 실행 시 악성코드가 PC에 설치돼 민감 정보가 외부로 유출될 수 있다. 이처럼 이메일 내 확장자나 출처를 속이는 방식도 여전히 위협적이다.

또한 검색엔진을 통한 피싱 유도도 발생하고 있다. 과기정통부와 KISA는 사용자가 ‘유심 무상 교체’, ‘유심 보호 서비스’ 등 특정 키워드를 검색하면 피싱 사이트로 연결되도록 유도하는 사례를 포착했다. 이들 피싱 사이트는 중간에 비영리 도메인을 경유시켜 마치 정상적인 페이지처럼 위장하고 있으나 최종적으로 도박 사이트나 악성 페이지로 연결된다. 방송통신위원회 또한 ‘유심 도착’ 등의 키워드로 구성된 문자에 의한 피해가 증가할 가능성에 주의를 기울이고 있다.

특히 공격자들은 정상 앱(알집 등)을 함께 설치하도록 유도함으로써, 피해자의 의심을 피해가며 단말기를 완전히 장악하는 수법을 사용했다. 보이스피싱, 스미싱 및 피싱 등 교묘한 공격을 진행해 왔던 이들에게 통해 이는 단순한 기술적 해킹이 아닌 사회공학적 기만술에 기반한 공격임을 시사한다. 이에 대해 KISA는 “정부기관이나 SKT는 절대로 전화나 문자를 통해 원격제어 앱 설치를 요구하지 않는다”고 분명히 밝혔다. 또 피해 예방을 위해 다음과 같은 조치를 강력히 권고했다.

현재 본인확인 체계는 방송통신위원회가 지정한 26개 본인확인기관을 통해 운영되고 있으며, 아이핀 3개 기관(나이스평가정보, 서울신용평가, 코리아크레딧뷰로), 통신사 3개 기관(SK텔레콤, KT, LG유플러스), 신용카드 7개 기관(KB국민카드, 롯데카드, 삼성카드, 신한카드, 하나카드, 현대카드, NH농협카드), 인증서 13개 기관(금융결제원, 코스콤, 한국전자인증, 한국정보인증, 한국무역정보통신, 비바리퍼블리카(토스), 하나은행, 카카오뱅크, 신한은행, 우리은행, 농협은행, 기업은행)으로 구성돼 있다.

지정된 본인확인 기관은 정보통신망법에 따라 주민등록번호를 수집·이용할 수 있으며 본인확인 업무의 안전성 확보를 위한 물리적·기술적·관리적 적정성을 만족하고 매년 엄격한 심사기준(서류심사와 현장심사, 종합심사)을 통과해야 한다. 본인확인 서비스는 이용자의 본인확인을 위해 휴대전화번호, 이름 등 정보를 확인해 이용자의 주민등록번호와 본인확인기관 간 공유 비밀정보를 이용해 생성한 정보를 말한다. 본인확인기관은 연계정보(CI, connecting Information)와 주민등록번호를 유출 등에 대비해 물리적으로 분리 보관해야 한다.

4개의 본인확인 인증 방법 가운데 약 90% 이상이 ‘휴대전화 본인확인’에 편중돼 있으며, 이는 본인확인 인증 기능의 주요 부분을 통신 3사에서 책임져 왔음을 의미한다. 공공기관, 금융기관, 민간 플랫폼 대부분이 유심 기반 인증 방식을 채택하고 있다. 이는 실질적으로 가장 편리한 본인확인 인증 수단으로 자리매김한 결과로써, 아이핀 등 타 본인확인 인증을 위해서도 휴대전화 본인확인 인증을 하도록 되어 있다. 실질적으로 다른 인증 수단은 유명무실한 상태에서 누구나 유심 해킹의 피해자가 될 수 있는 상황에 놓여 있는 것이다.

전문가들 사이에서는 특정 인증 방식에 대한 지나친 의존이 위험하다는 우려가 꾸준히 제기돼 왔다. 유심에는 고유식별번호(IMSI), 인증키 등 민감한 개인정보가 저장돼 있어 해킹으로 유심 정보가 탈취되면 개인의 디지털 신원 전체가 위험에 노출될 수 있기 때문이다. 특히 유심 탈취는 스미싱, 계좌 탈취 등 2차 범죄로도 이어질 수 있어 통신사나 금융권의 이상거래탐지시스템(FDS)만으로는 완벽한 대응이 어렵다는 지적이 나온다.

디지털 사회는 신뢰 위에 세워지지만, 그 신뢰는 막연한 믿음이 아닌 ‘설계된 통제’와 ‘균형’ 속에서 비로소 작동한다. 이제는 단일한 인증 수단에 의존하는 체계에서 벗어나, 복수의 인증수단을 조합하고 통제할 수 있는 구조가 필요하다. 현재 행정안전부가 시행하고 있는 블록체인 기반의 모바일 신분증, 생체인식 + 비밀번호 + 일회용 인증코드(OTP)의 병행구조, 위치기반 확인 절차, AI 기반 이상행동 탐지 시스템 등이 될 수 있다.

개인정보보호 교육은 스미싱과 피싱으로부터 우리의 소중한 개인정보 유출을 막기 위해 우리가 실천해야 할 사항을 언급하고 있다. 우리 사회의 불안정함을 인지하고 적절한 개인정보보호를 위한 지식을 확보할 수 있도록 초중고 학생부터 노년층까지 사회 전반에 개인정보보호 교육 문화가 형성된다면 인증 기술과 더불어 안전한 체계를 마련할 수 있을 것이다.

1. 출처 불명 링크가 포함된 문자는 클릭하지 말고 즉시 삭제하기
2. 사이트 주소가 공식 웹사이트와 정확히 일치하는지 확인하기
3. 개인정보 및 인증번호는 반드시 신뢰할 수 있는 사이트에만 입력하기
4. 인증번호 입력 시, 모바일 결제로 이어질 수 있으므로 한 번 더 확인하기
5. PC 사용 시 파일 확장자가 보이도록 설정하고 .lnk 파일은 절대 실행하지 않기

무엇보다 중요한 것은, 이러한 기술이 효과를 발휘하기 위해서는 사용자 스스로가 원리를 이해하고, 조심할 줄 아는 태도를 가져야 한다는 점이다. ‘제로 트러스트(Zero Trust)’의 개념과 PbD(Privacy by Design) 내재화 등 개인정보보호 원칙을 갖고 모든 접근을 의심하고, 검증하며, 최소한의 권한만 허용하는 구조가 개인의 정보와 재산을 지키는 가장 확실한 전략임을 알려주는 것이 개인정보보호 교육이 필요한 이유일 것이다.

[글_ 최기근 한국교육과정평가원 연구원]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>