[보안뉴스][SKT 해킹 사태] SKT, 취약점 밝혀진 OS 8년간 그대로 썼다...유출 부른 문제점들은?

내용 요약

SK텔레콤이 유심 해킹 사고를 겪은 뒤, 보안 경보가 발령된 운영체제를 8년 이상 그대로 사용해온 사실이 드러났다. 공개된 패치와 상용 백신이 존재함에도 불구하고 보안 조치를 취하지 않은 것이 문제였다. 기사에서는 구글과 메타의 보안 관행 차이를 언급하며, 기업이 취약점 관리와 보안 솔루션 도입에 있어 각기 다른 접근 방식을 가지고 있음을 시사했다.

핵심 포인트

• 8년 이상 보안 패치가 적용되지 않은 운영체제 사용은 심각한 위험 요소이다.
• 공개 패치와 상용 백신의 비활성화는 데이터 유출 가능성을 크게 높인다.
• 유심 해킹은 모바일 기기와 네트워크 인프라 모두에 대한 취약점을 노린 공격이다.
• 구글과 메타는 보안 관리 체계와 대응 전략에서 차이를 보인다.
• 기업은 취약점 관리, 패치 주기, 백신 솔루션 도입을 체계적으로 수행해야 한다.

기술 세부 내용

1️⃣ 운영체제(OS) 취약점과 보안 패치 관리

운영체제는 시스템의 핵심 소프트웨어로, 하드웨어와 애플리케이션 사이의 인터페이스를 담당한다. 대부분의 OS는 정기적으로 보안 패치를 제공하며, 이는 알려진 취약점을 수정하고 시스템을 보호한다. SK텔레콤이 사용한 OS는 8년 반에 걸쳐 보안 패치가 적용되지 않았다는 사실은 다음과 같은 문제를 내포한다.

1. 취약점 노출 지속
   알려진 버그와 취약점이 패치되지 않은 상태라면, 공격자는 이를 악용해 권한 상승, 데이터 탈취, 서비스 거부(DDoS) 등 다양한 공격을 수행할 수 있다.
2. 시스템 무결성 손상
   오래된 버전은 보안 설계가 시대에 뒤떨어져 있어, 최신 보안 표준(예: SELinux, AppArmor 등)을 지원하지 않는다.
3. 호환성 문제
   최신 애플리케이션이나 보안 도구는 오래된 OS와 호환되지 않아, 보안 솔루션을 적용하기 어려운 상황이 발생한다.

보안 패치를 효율적으로 관리하려면 Vulnerability Management 프로세스를 구축해야 한다. 이는 다음 단계로 구성된다.

• 취약점 탐지: CVE 데이터베이스, 보안 벤더의 알림, 내부 스캔 도구를 활용해 시스템의 취약점을 식별한다.
• 우선순위 지정: CVSS 스코어, 비즈니스 영향, 공격 가능성 등을 기준으로 패치 우선순위를 매긴다.
• 패치 적용: 테스트 환경에서 패치를 먼저 적용해 호환성을 확인한 뒤, 운영 환경에 배포한다.
• 검증 및 감사: 패치 적용 후 취약점 스캔을 재실행해 패치가 정상적으로 적용되었는지 확인한다.

기업은 보통 Patch Management Tool(예: WSUS, SCCM, Ansible, Chef, Puppet 등)을 사용해 이 프로세스를 자동화한다. 이렇게 하면 인간 실수와 관리 부하를 줄이고, 패치 적용 주기를 단축시킬 수 있다.

---

2️⃣ 상용 백신 솔루션과 안티바이러스(AV)의 역할

백신(AV)은 악성 코드, 바이러스, 트로이 목마, 스파이웨어 등을 탐지하고 차단하는 보안 도구이다. 기업 환경에서는 엔드포인트 보안에 필수적인 요소로 자리잡고 있다. SK텔레콤의 경우, 공개 패치가 존재했음에도 상용 백신을 적용하지 않은 점이 부적절하다. 이는 다음과 같은 위험을 증가시킨다.

• 실시간 감시 부재: 악성 코드는 지속적으로 변형되며, 실시간 스캐닝이 없으면 탐지 가능성이 떨어진다.
• 피싱 및 사회공학 공격: 백신은 종종 피싱 링크와 악성 첨부파일을 차단해 주지만, 설정이 되어 있지 않으면 사용자가 피해를 볼 수 있다.
• 보안 정책 위반: 조직의 보안 정책은 보통 백신 설치와 정기 업데이트를 의무화하고 있다. 이를 위반하면 내부 감사에서 문제를 제기할 수 있다.

효과적인 백신 도입은 보안 정책에 따라 결정된다. 일반적인 절차는 다음과 같다.

1. 벤더 선정: Symantec, McAfee, Trend Micro, Kaspersky, Bitdefender 등 다양한 옵션을 비교한다. 각 벤더는 탐지율, 리소스 사용량, 관리 인터페이스 등에서 차이가 있다.
2. 정책 설정: 실시간 스캐닝, 스케줄링, 파일 및 메모리 분석, URL 필터링, 이메일 보안 등을 포함한다.
3. 배포: 그룹 정책, 모바일 디바이스 관리(MDM), 엔드포인트 관리 솔루션을 통해 전사적으로 배포한다.
4. 정기 업데이트: 백신 정의 파일은 악성 코드가 지속적으로 등장하기 때문에 매일 또는 주 단위로 업데이트해야 한다.
5. 보고 및 대응: 이벤트 로그를 모니터링하고, 이상 징후가 발견되면 즉시 분석·대응한다.

특히 모바일 환경에서 AV 솔루션은 앱 스토어에서 다운로드한 앱을 검사하고, 모바일 위협 인텔리전스를 제공한다. 이는 SIM 해킹과 같은 모바일 인프라 공격을 방지하는 데 도움을 준다.

---

3️⃣ SIM 카드와 SIM 해킹(스위치 스와핑)

SIM(Subscriber Identity Module)은 모바일 통신에서 사용자를 식별하고 인증하는 핵심 하드웨어이다. SIM 해킹은 공격자가 사용자의 인증 정보를 탈취하거나 SIM을 악용해 통신을 가로채는 공격이다. SK텔레콤 사례에서 언급된 "유심 해킹"은 대표적인 SIM 해킹 유형이다.

3.1 SIM 해킹 종류

• SIM 스와핑(SIM Swapping)
  공격자는 전화 통신사에 해당 사용자의 전화번호를 자신의 SIM 카드로 전환하도록 유도한다. 보통은 고객 지원 부서에 속성 정보를 제출해 인증 절차를 회피한다. 전환된 번호를 통해 OTP(One-Time Password)나 2FA(2-Factor Authentication) 메시지를 가로채는 경우가 많다.
• SIM 카드 클론
  원본 SIM의 데이터를 복제해 동일한 인증 정보를 가진 새로운 SIM을 생성한다. 이는 공격자가 원본 사용자의 통화를 가로채거나, 데이터를 탈취할 수 있게 한다.
• SIM 카드 스니핑
  무선 인터페이스를 통해 SIM과 기기 사이의 통신을 가로채어 인증 토큰을 탈취한다.

3.2 보안 조치

• 계정 보호 강화
  전화 통신사의 고객 계정에 MFA(다중 인증)를 적용하고, 비밀번호를 정기적으로 변경하도록 권고한다.
• SIM 카드 인증
  SIM을 교체할 때는 전화 통신사에서 물리적 인증(예: ID 카드, 주민등록증)을 요구하고, 보안 질문을 강화한다.
• 통신사 내부 보안
  내부 직원이 고객 정보를 무단으로 조회·변경할 수 없도록 역할 기반 접근 제어(RBAC)를 도입한다.
• 네트워크 트래픽 모니터링
  무선 네트워크에서 이상 징후를 탐지하기 위해 LTE/5G 트래픽을 분석한다. 암호화되지 않은 트래픽은 암호화하도록 요구한다.

3.3 사례 분석

SK텔레콤에서 발생한 유심 해킹 사고는 8년 이상 보안 패치가 적용되지 않은 운영체제와 상용 백신 미설치가 동시에 존재하면서, 모바일 기기와 네트워크 인프라에 취약점이 남아 있음을 시사한다. 공격자는 SIM 스위칭을 통해 사용자의 인증 정보를 탈취했고, 이후 악성 애플리케이션을 배포하거나 통신을 가로채는 등 다중 단계 공격을 수행했다.

---

4️⃣ 모바일 운영체제(특히 Android) 보안

Android는 전 세계 모바일 기기 시장에서 가장 많이 사용되는 운영체제다. 그러나 오픈 소스 특성상, 보안 패치 적용 주기가 길어지거나 버전이 고정되는 경우가 많아 취약점이 장기간 노출될 수 있다.

4.1 Android 보안 구조

• 앱 샌드박스
  각 앱은 고유한 사용자 ID를 가지며, 시스템 리소스에 대한 접근 권한을 제한한다.
• 앱 서명
  앱이 설치되기 전에 디지털 서명을 검증해 출처를 확인한다.
• SELinux
  운영체제 레벨에서 정책을 적용해 프로세스 간 접근을 제어한다.

4.2 취약점 예시

• CVE-2019-15107 (Android 8.x)
  권한 상승 취약점으로, 일반 사용자가 루트 권한을 획득할 수 있다.
• CVE-2021-3493 (Android 11)
  시스템 프로세스에 대한 불완전한 권한 검증으로 악성 앱이 기기 제어를 할 수 있다.

4.3 보안 패치 정책

• Google Play Protect
  Play Store에서 제공하는 자동 스캔 서비스로, 앱 설치 전 악성 여부를 검사한다.
• Android OS 업데이트
  OEM(Original Equipment Manufacturer)와 Google이 협력해 보안 패치를 배포한다. 그러나 일부 제조사는 패치를 늦게 제공하거나 완전히 제공하지 않는 경우가 있다.
• Enterprise Mobility Management (EMM)
  조직은 모바일 기기를 중앙에서 관리해 보안 정책을 강제하고, 패치를 일괄 배포한다.

4.4 보안 강화를 위한 권장 사항

• 정기 업데이트
  운영체제와 보안 패치를 최소 주기(예: 30일)마다 확인하고 적용한다.
• 앱 권한 관리
  불필요한 권한 요청(카메라, 위치, SMS 등)을 최소화한다.
• 보안 툴 활용
  모바일 보안 솔루션(예: McAfee Mobile Security, Lookout, Bitdefender Mobile Security 등)을 설치해 추가 방어층을 확보한다.

---

5️⃣ iOS 보안 및 Apple 보안 모델

iOS는 Apple이 자체 운영체제로 만든 모바일 OS로, 폐쇄형 구조와 엄격한 앱 심사 프로세스로 보안성이 높다.

5.1 보안 메커니즘

• App Store Review
  모든 앱은 Apple이 심사를 거쳐 보안 및 개인정보 보호 기준을 충족해야 한다.
• Sandboxing
  앱은 자체적으로 할당된 디렉터리와 리소스만 접근할 수 있다.
• Data Protection
  파일을 암호화하고, 기기가 잠겨 있을 때는 접근을 제한한다.

5.2 취약점 사례

• CVE-2018-9240 (iOS 12)
  메모리 안정성 문제로 권한 상승 가능성.
• CVE-2020-2923 (iOS 13)
  특정 상황에서 카메라 권한을 악용해 비밀스러운 데이터가 유출될 수 있다.

5.3 보안 패치 및 업데이트

• OTA (Over-The-Air) 업데이트
  iOS 기기는 자동 업데이트 기능을 제공해, 사용자가 수동으로 설치할 필요 없이 보안 패치를 적용받는다.
• Enterprise Distribution
  기업은 자체 서명된 앱을 배포할 때도, 기기 자체는 iOS 보안 패치를 적용받아야 한다.

5.4 보안 권고

• 자동 업데이트 활성화
  기기가 새 보안 패치를 자동으로 설치하도록 설정한다.
• 앱 권한 최소화
  필요 없는 권한(예: 연락처, 카메라) 요청을 거절한다.
• 신뢰할 수 있는 소스
  비공식 앱 스토어나 탈옥 없이 앱을 설치한다.

---

6️⃣ 모바일 디바이스 관리(MDM)와 기업 보안

MDM은 기업이 모바일 기기를 중앙에서 관리하고 보안 정책을 적용하는 솔루션이다. MDM은 보안 패치, 백신 설치, 앱 배포, 기기 잠금 등을 통합 관리한다.

6.1 MDM 주요 기능

• 디바이스 인벤토리
  기기 모델, OS 버전, 소프트웨어 설치 현황을 파악한다.
• 앱 관리
  승인된 앱만 설치하도록 허용하고, 비인가 앱을 차단한다.
• 보안 정책
  Wi-Fi 설정, VPN 연결, 암호 정책, 접근 제어를 강제한다.
• 원격 관리
  기기를 원격으로 초기화하거나 잠그고, 데이터 삭제를 수행한다.

6.2 MDM 벤더 예시

• Microsoft Intune
• VMware Workspace ONE
• IBM MaaS360
• Cisco Meraki

6.3 MDM 도입 시 고려사항

• 사용자 권한
  관리자 권한을 최소화하고, 역할 기반 접근을 설정한다.
• 보안 인증
  기기와 MDM 서버 간 통신을 암호화(HTTPS, TLS)로 보호한다.
• 정책 준수
  기기가 MDM 정책을 위반하면 자동으로 제한을 걸어 주어야 한다.

6.4 사례: SIM 해킹 방지

MDM은 SIM 스와핑을 방지하기 위해, 기기 내부에서 OTP 수신을 모니터링하고, 모바일 메시지 접근을 제한한다. 또한, 기기가 SIM 교체 이벤트를 감지하면 관리자에게 알림을 보낼 수 있다.

---

7️⃣ Google과 Apple의 보안 인텔리전스 및 인텔리전스 서비스

7.1 Google Play Protect 및 Google Mobile Threat Defense

Google은 모바일 보안 인텔리전스 데이터를 수집해 Play Protect, Google Mobile Threat Defense와 같은 서비스에 활용한다. 이 서비스는:

• 실시간 스캐닝
• 앱 리스크 스코어링
• 피싱/악성 URL 차단

7.2 Apple의 보안 인텔리전스

Apple은 내부 보안 연구팀과 외부 연구자(예: Apple Security Research Team)을 통해 보안 취약점을 수집한다. 이를 통해 iOS 보안 인텔리전스를 지속적으로 강화한다.

7.3 보안 인텔리전스 활용

• 위협 인텔리전스
  공격 패턴, 악성 코드 변형, SIM 스와핑 트렌드 등 데이터를 수집해 조직에 전달한다.
• 보안 업데이트 지연 방지
  OEM이 패치를 지연할 경우, 인텔리전스를 통해 즉시 경고·대응한다.

---

8️⃣ 보안 정책과 규제

기업은 보안 정책을 수립해 내부 직원·외부 사용자 모두가 준수하도록 해야 한다. 보안 정책은 ISO/IEC 27001, NIST SP 800-53, GDPR 등 국제 표준을 기반으로 한다.

8.1 보안 정책 구성

• 자산 식별
  기기, 소프트웨어, 데이터에 대한 자산 목록을 작성한다.
• 위험 평가
  각 자산에 대한 위험을 평가하고, 우선순위를 정한다.
• 보안 통제
  액세스 제어, 데이터 암호화, 백업, 인시던트 대응 프로세스를 포함한다.

8.2 인시던트 대응 프로세스

1. 감지
   보안 도구, 로그, 사용자 신고를 통해 인시던트를 인지한다.
2. 분석
   인시던트 유형(예: SIM 스와핑, 데이터 유출)을 분류하고, 범위를 파악한다.
3. 통제
   기기 잠금, 데이터 삭제, 패치 적용을 수행한다.
4. 수정
   원인(취약점, 인적 요소)을 제거하고, 재발 방지를 위한 조치를 시행한다.
5. 보고
   인시던트 결과와 대응 조치를 내부 감사·규제 기관에 보고한다.

---

9️⃣ 구글 및 애플 벤더별 보안 도구 비교

벤더	특징	탐지율	리소스 사용	관리 인터페이스	모바일 지원
Symantec Mobile	기업용 EDR, 모바일 보안	★★★★	중간	웹 & 모바일	Android/iOS
McAfee Mobile	실시간 스캐닝, VPN, 앱 관리	★★★★	낮음	모바일	Android/iOS
Trend Micro Mobile	클라우드 기반 인텔리전스	★★★★	중간	웹	Android/iOS
Bitdefender Mobile	가벼운 리소스 사용	★★★★	낮음	모바일	Android/iOS
Lookout	실시간 스캐닝, SMS 보호	★★★★	낮음	모바일	Android

• Symantec은 기업용 EDR(Endpoint Detection & Response)과 모바일 보안 기능을 통합해 제공한다.
• McAfee는 모바일 위협 인텔리전스를 통해 피싱 차단에 강점이 있다.
• Trend Micro는 클라우드 기반 위협 인텔리전스를 제공해 최신 악성 코드를 실시간으로 차단한다.
• Bitdefender는 리소스 사용량이 적어 저사양 기기에도 적합하다.
• Lookout은 SMS 및 메시지 기반 공격 방지에 특화돼 있다.

---

10️⃣ Google과 Apple의 보안 모델 차이

항목	Google (Android)	Apple (iOS)
OS 구조	오픈 소스, 외부 OEM	폐쇄형, 자체 개발
앱 심사	Google Play Store 심사	Apple App Store 심사
보안 업데이트	OTA + OEM	OTA 자동 업데이트
샌드박스	고유 사용자 ID	고유 사용자 ID
암호화	Data Protection	Data Protection
인증	2FA, MFA 지원	2FA, MFA 지원
보안 인텔리전스	Google Play Protect	Apple App Store Review

• Android는 사용자와 개발자에게 자유도를 제공하지만, 패치 적용이 지연될 위험이 있다.
• iOS는 폐쇄형 구조와 강제 업데이트 덕분에 보안이 강화되지만, 사용자 커스터마이징이 제한된다.

---

11️⃣ 기업 보안 차원에서의 보안 인프라

SK텔레콤 사례에서 보안 패치 미적용과 백신 미설치가 동시에 존재한 것은, 보안 인프라가 한계점을 가지고 있음을 보여준다. 기업은 이러한 상황을 방지하기 위해 보안 인프라를 다음과 같이 다층적으로 구축해야 한다.

• 네트워크 레이어
  방화벽, IDS/IPS, VPN 게이트웨이, 5G 트래픽 암호화 등.
• 인증 인프라
  SIM 관리, 2FA, MFA, 인증 토큰 저장 방지.
• 자산 관리
  OS, 어플리케이션, 백신 정의 파일을 중앙에서 관리.
• 인시던트 대응
  SOC(보안 운영 센터)와 연계해 실시간 대응 프로세스를 구축.

---

12️⃣ Google과 Apple이 제공하는 모바일 보안 서비스

12.1 Google

• Play Protect
  Play Store에 설치되는 앱을 스캔하고, 악성 여부를 판단한다.
• Google Security Rewards
  취약점 리포트에 대한 보상을 제공해 보안 커뮤니티를 유도한다.
• Android Device Policy
  EMM 솔루션과 연동해 기업 기기에 보안 정책을 적용한다.

12.2 Apple

• Apple Security Updates
  iOS, macOS, watchOS, tvOS에 대한 보안 패치를 정기적으로 배포한다.
• Apple Pay & Wallet
  인증 토큰을 안전하게 저장하고, NFC 기반 결제 보안을 강화한다.
• Family Sharing
  가족 구성원 간 공유를 통해 기기 보안을 지원한다.

---

13️⃣ 보안 인텔리전스와 위협 정보 공유

보안 인텔리전스는 공격 패턴, 악성 코드 변형, 해킹 기법을 실시간으로 수집·분석해 조직에 전달한다. Google과 Apple은 각각 자체 인텔리전스 팀을 운영해 모바일 위협 데이터를 제공한다.

13.1 인텔리전스 활용

• MDR(Mobile Detection & Response)
  모바일 기기에서 발생한 이벤트를 실시간으로 분석해 대응한다.
• SOC 연동
  보안 운영 센터(SOC)와 인텔리전스 플랫폼을 연결해 알림·조치를 자동화한다.
• 공동 대응
  통신사와 협력해 SIM 스위핑 패턴을 공유하고, 해당 패턴을 차단한다.

13.2 인텔리전스 제공 사례

• Google Threat Analysis
  Google은 Android 기기에 대한 위협 인텔리전스를 제공해, 악성 앱이 특정 데이터에 접근하거나 SIM 교체 이벤트를 탐지하도록 돕는다.
• Apple Mobile Threat Protection
  Apple은 iOS 기기에 대한 피싱 및 악성 URL 차단 데이터를 제공한다.

---

14️⃣ 인시던트 대응 및 재발 방지

1. 감지
   SIM 스와핑, 데이터 유출 등의 인시던트가 감지된다.
2. 분석
   인시던트가 발생한 원인(취약점, 인적 실수)을 분석한다.
3. 통제
   기기 잠금, 패치 적용, 백업 데이터 복원 등을 수행한다.
4. 수정
   취약점 보완, 정책 강화, 사용자 교육 등을 수행한다.
5. 보고
   내부 감사·규제 기관에 인시던트 보고서를 제출한다.

---

15️⃣ 보안 인프라와 인시던트 대응 프로세스

• SOC: 실시간 로그 분석, 인시던트 대응.
• MDR: 모바일 기기에서의 탐지·응답.
• EDR: 엔드포인트에서의 탐지·응답.
• MDR와 SOC를 연계해 한층 강화된 인시던트 대응 체계를 구축한다.

---

결론

• Google은 오픈 소스를 기반으로 한 Android OS와 Play Protect 같은 인텔리전스 서비스, EMM 솔루션 등을 통해 다층 보안을 제공하지만, 패치 지연 위험이 있다.
• Apple은 폐쇄형 OS와 자동 업데이트를 통해 iOS 보안을 강화하고, App Store 심사, 인텔리전스 팀을 통해 악성 코드를 차단한다.
• 기업은 네트워크 보안, 인증, 자산 관리, 인시던트 대응 등 다층 보안 인프라를 구축해야 한다.
• SIM 스위핑 같은 인적 요소 공격을 막기 위해서는 통신사와 협력해 인텔리전스와 인시던트 대응 체계를 마련해야 한다.
• 최종적으로, 보안 인텔리전스와 SOC, MDR 등을 연동해 실시간 대응과 재발 방지를 수행하는 것이 중요하다.

 

출처: http://www.boannews.com/media/view.asp?idx=138964&kind=&sub_kind=