SK텔레콤 HSS 서버 침입… 中 해킹조직 ‘위버 앤트’ 방식과 유사

웹셸로 내부망 장악… 유심정보 저장 서버까지 접근 정황

서울=본지 취재팀 | 2024. 4. 25

SK텔레콤의 유심(가입자식별장치) 정보가 저장된 **홈가입자서버(HSS)**에 악성코드가 침입한 정황이 포착되면서,
중국 해킹 조직 ‘위버 앤트(Weaver Ant)’의 침투 방식과 유사하다는 분석이 제기됐다.

---

이동통신 네트워크의 핵심인 EPC (Evolved Packet Core) 구조

 

◼️ “통신사의 심장, HSS가 뚫렸다”

SK텔레콤은 지난 19일 오전 11시경, HSS 서버에 악성코드가 침투한 흔적을 발견하고 즉시 삭제 조치했다고 밝혔다.
HSS는 이용자의 전화번호, 고유식별번호(IMSI), 암호화 키 등 핵심 통신정보가 저장된 최상위 서버로,
LTE와 5G 통신망 접속을 포함해 모든 가입자 인증을 담당하는 통신 인프라의 핵심 장치다.

해당 사고는 다음 날 한국인터넷진흥원(KISA)에 신고됐으며,
과학기술정보통신부는 곧바로 비상대책반을 가동해 원인 분석과 재발 방지 대책 마련에 착수했다.

---

◼️ 위버 앤트 수법과 유사… “웹셸 통한 장기 침투 정황”

정보보안 업계는 이번 사고의 방식이 중국 정부 지원 해킹조직 ‘위버 앤트’의 작전과 유사하다고 진단하고 있다.
사이버 대응 기업 시그니아(Sygnia)는 최근 보고서를 통해
위버 앤트가 지난 2021년부터 4년간 아시아 통신사에 잠입해
웹셸(Web Shell) 기반 악성코드를 통해 내부망을 장기적으로 장악했다고 밝혔다.

이들은 고급 암호화(AES)를 적용해 웹 방화벽(WAF)을 우회했으며,
하드디스크 기록 없이 메모리에서만 실행되는 인메모리 웹셸을 활용해 탐지를 피했다.
또한 보안이 취약한 가정용 공유기를 통해 ‘경유지망(ORB)’을 만들어
최종적으로 HSS 서버에 접근한 것으로 밝혀졌다.

---

◼️ 전문가 “SKT도 비슷한 루트로 침입당했을 가능성”

업계 전문가는 “이번 사고도 피싱 이메일 또는 웹서버 취약점을 통해
장기적으로 내부망에 침투, 최종적으로 HSS 접근 권한을 얻었을 가능성이 높다”고 분석했다.

이어 “웹셸 활동이나 비정상 프로토콜 트래픽을 다계층에서 실시간으로 감지하는
고도화된 보안 모니터링 시스템이 갖춰졌어야 한다”며,
“EDR(탐지·대응) 솔루션만으로는 고도화된 메모리 해킹을 막기 어렵다”고 지적했다.

---

◼️ 정보보호 투자 줄인 SKT… 대비 부족 도마에 올라

한편 SK텔레콤이 최근 정보보호 관련 예산을 오히려 4% 줄였다는 점도 논란이 되고 있다.
같은 기간 KT는 19%, LG유플러스는 116%나 보안 예산을 늘린 것으로 나타났다.

KT는 2014년 대규모 개인정보 유출 사고를, LGU+는 2022년 약 29만 명 정보유출 사고를 겪은 후
정보보호 시스템에 대한 지속적 투자와 리스크 관리를 강화해왔다.

---

🧠  EPC 핵심 장비들

 

1. MME (Mobility Management Entity)

• 제일 중요한 "두뇌 역할"
• 인증/접속 관리, 위치 추적, 핸드오버(기지국 간 이동) 담당
• Control Plane(제어 신호) 전담

2. SGW (Serving Gateway)

• UE의 데이터 흐름 관문
• 사용자가 통신을 시작하면, 가장 먼저 여길 거치는 곳

3. PGW (Packet Gateway)

• 인터넷이나 외부망으로 나가는 출구
• DNS, YouTube, 카카오톡 서버 이런 데랑 연결되는 관문
• IP주소 할당도 담당

4. PCRF (Policy and Charging Rules Function)

• 데이터 요금, 속도 제한, 정책 설정
• 예: 데이터 10GB 넘으면 속도 제한! 같은 룰 정하는 애

5. HSS (Home Subscriber Server)

• 사용자 정보 창고
• 전화번호, 유심정보(IMSI), 비밀번호, 인증키 다 여기 있음
• 이 서버가 털리면 유심 정보 유출… (← 이번 SKT 사고 핵심!)

 

 

📌 관련 용어 요약

용어설명

HSS	Home Subscriber Server. 통신사 가입자 정보 관리 최상위 서버
웹셸(Web Shell)	서버에 업로드되는 악성 스크립트. 원격 제어 및 명령 실행 가능
인메모리(In-Memory)	흔적을 남기지 않기 위해 메모리에서만 실행되는 악성코드
WAF	Web Application Firewall. 웹 방화벽
EDR	Endpoint Detection and Response. 탐지·대응 보안 솔루션