통신사 인증이 멈추자 안심차단이 170배 늘었다

유심에 무엇이 들어 있나

유심은 가입자를 식별하는 정보를 담은 칩이다. 이 정보로 통신망이 그 회선의 주인을 확인한다.

금융에서는 휴대전화 본인인증이 널리 쓰인다. 이름과 생년월일, 휴대전화 번호를 입력하면 통신사가 그 사람이 맞는지 확인해 주는 방식이다.

이 확인이 비대면 계좌 개설과 대출 실행, 카드 발급의 관문이 된다.

유심 정보가 복제되면 그 회선의 주인 행세를 할 수 있게 되므로 확인의 근거가 흔들린다.

금융권이 인증을 멈췄다

은행을 비롯한 금융권은 이 통신사를 통한 신원 인증을 중단했다. 일부 보험회사도 휴대전화 본인인증을 일시적으로 멈췄다.

은행권은 별도의 인증과 보안 시스템을 갖추고 있어 금융사고 가능성은 낮다고 설명하면서도, 통신사 인증 외에 다른 인증 수단을 추가하도록 권장했다.

유심에 저장된 인증서 정보는 통신사 서버로 전송되지 않으므로 이번 유출과는 무관하다는 설명도 함께 나왔다.

그럼에도 이용자의 불안은 컸다.

이 통신사를 쓰는 이용자는 비대면 거래에서 다른 인증 수단을 찾아야 했다.

안심차단으로 몰렸다

이용자들은 비대면 계좌개설 안심차단과 여신거래 안심차단 서비스를 신청했다.

두 서비스는 비대면으로 새 입출금 계좌를 열거나 대출을 실행하는 것을 원천적으로 막는다. 유심이 복제되더라도 금융사고로 이어지지 않게 하는 장치다.

한 은행에서는 사고가 알려진 직후 신청이 몰려 4월 일평균 613건을 크게 웃돌았다. 금융권 전체로는 신청이 170배 늘었다는 집계가 나왔다.

해제하려면 영업점을 찾아 본인 확인을 거쳐야 하는데도 신청이 이어졌다.

안심차단은 신청은 간단하고 해제는 번거롭게 설계된 장치다. 그 비대칭이 명의도용을 막는 근거가 된다.

암호화하지 않고 있었다

조사에서 확인된 것 가운데 하나는 유심 인증키 값의 암호화 여부다. 세계이동통신사업자협회가 권고하는 사항이고 다른 통신사들은 암호화해 저장하고 있었다.

이 회사는 암호화하지 않고 저장했다. 계정정보를 다른 서버에 평문으로 저장한 사실도 확인됐다.

침해사고 신고 시한도 지켜지지 않았다. 인지 후 24시간 이내라는 기준을 넘겨 신고가 이뤄졌다.

2022년 2월 서버의 비정상 재부팅을 점검하다 악성코드 감염 서버를 발견하고도 신고하지 않은 사실이 함께 드러났다.