SKT 해킹 사고 분석: BPFDoor 악성코드, 4년 전부터 경고되었다

시작하며

최근 SK텔레콤 핵심 서버에서 발생한 해킹 사고가 많은 관심을 받고 있습니다. 사고에 사용된 BPFDoor 악성코드는 이미 수년 전부터 경고가 이어져 온 위협입니다. 이번 사건을 통해 리눅스 시스템을 노리는 백도어 악성코드의 위험성과 통신사 보안 체계의 취약성이 드러났습니다. BPFDoor의 특성과 사고 경과를 체계적으로 정리하고, 향후 보안 대책까지 살펴보겠습니다.

 

1. SK텔레콤 해킹 사고, 어떻게 발생했나

(1) 핵심 서버가 공격당한 경위

2025년 4월 19일, SK텔레콤의 홈가입자서버(HSS)에서 비정상적인 활동이 탐지되었습니다. 즉시 악성코드를 삭제하고 한국인터넷진흥원(KISA)에 신고하는 등 초기 대응이 진행됐습니다. 이 서버는 고객의 전화번호, 인증키(IMSI) 등 중요한 정보를 관리하는 곳으로, 해킹으로 인해 상당한 파장이 예상되었습니다.

(2) 해킹에 사용된 악성코드: BPFDoor

이번 사고에서 발견된 악성코드는 BPFDoor입니다. 2021년부터 보고된 리눅스 대상 백도어 악성코드로, 커널 수준에서 네트워크 트래픽을 가로채는 은밀한 방식을 사용합니다.

 

2. BPFDoor 악성코드의 정체

(1) BPFDoor란 무엇인가

BPFDoor는 리눅스 커널의 BPF(Berkeley Packet Filter) 기능을 악용해 외부의 명령을 수신하고 내부 시스템에 접근하는 악성코드입니다. 일반적인 백도어처럼 포트를 열어두는 방식이 아닌, 특정 매직 시퀀스가 포함된 트래픽에만 반응하기 때문에 탐지가 매우 어렵습니다.

(2) BPFDoor의 주요 특징

🌐 BPFDoor의 주요 특징 요약

구분	내용
타겟	리눅스 서버
활성화 방식	매직 시퀀스 포함 네트워크 패킷 수신 시
방화벽 우회	포트를 열지 않고 트래픽 가로채기
탐지 회피 기법	프로세스 이름 위장, 커널 레벨 작동
공개 여부	2022년 오픈소스화, 누구나 사용 가능
연관 해커 그룹	레드맨션, 위버엔트 등 중국 기반 그룹

 

3. 4년 전부터 경고되었던 위험

(1) BPFDoor는 새로운 위협이 아니었다

이미 2021년, 글로벌 보안 기업 PWC는 BPFDoor의 위협을 경고하는 보고서를 발표했습니다. 이 보고서에서는 중국 해커 그룹이 통신사를 주요 타겟으로 삼고 있으며, 다양한 백도어 수법이 활용되고 있다고 언급했습니다.

(2) 계속되는 공격 시도

BPFDoor는 2024년에도 아시아, 중동, 아프리카 지역 통신사들을 상대로 여러 차례 공격 시도가 있었던 것으로 분석됩니다. 이번 SK텔레콤 사고는 경고가 이어졌음에도 보안 허점이 여전히 존재했음을 보여줍니다.

 

4. BPFDoor의 작동 원리와 탐지 어려움

(1) 왜 탐지가 어려운가?

BPFDoor는 특정 포트를 열어두지 않고, 매직 시퀀스로만 활성화됩니다. 일반적인 방화벽 규칙이나 네트워크 침입 탐지 시스템을 쉽게 우회할 수 있습니다.

(2) 네트워크 흐름 속에서 몰래 활동

📡 BPFDoor 작동 방식 한눈에 보기

단계	설명
1단계	매직 시퀀스를 포함한 패킷 수신
2단계	BPFDoor가 패킷을 인식하고 활성화
3단계	공격자의 명령 수신 및 실행
4단계	데이터 탈취 및 전송

 

5. 사고 이후 SK텔레콤의 대응과 과제

(1) 긴급 대응 조치

SK텔레콤은 악성코드 발견 직후, 관련 서버를 격리하고 삭제 조치를 했습니다. 또한, 영향을 받은 고객들을 대상으로 유심 교체와 eSIM 업데이트를 지원하고 있습니다.

(2) 앞으로 필요한 보안 강화 방향

🔒 통신사 보안 강화에 필요한 점

• 심층 탐지 체계 구축: 커널 레벨 악성코드까지 탐지할 수 있는 고도화된 시스템 필요
• 보안 투자 확대: 서버 보안 인프라에 대한 지속적 투자 강화
• 내부 보안 강화: 내부자 위협에도 대응할 수 있는 체계 마련
• 지속적 모니터링과 업데이트: 위협 정보 공유 및 보안 업데이트 강화

 

6. 통신 3사, 모두 안전할까?

(1) KT와 LG U+도 대비가 필요하다

이번 사고는 SK텔레콤에 국한된 문제가 아닙니다. BPFDoor는 통신 인프라를 타깃으로 한 고도화된 수법이며, KT, LG U+ 등 다른 통신사들도 유사한 위협에 노출될 수 있습니다.

(2) 업계 전반의 대응 필요성

🛡️ 국내 통신사에 필요한 공통 대책

항목	설명
위협 인텔리전스 강화	최신 위협 정보 실시간 공유
침해 사고 대응 훈련	실전 대응 능력 강화
취약점 점검 강화	정기적 서버 보안 점검 및 패치 적용
외부 보안 감시체계 도입	제3자 기관의 감시 및 컨설팅 활용

 

마치며

SK텔레콤 해킹 사고를 통해 드러난 BPFDoor 악성코드의 위협은 결코 가볍게 넘길 수 없는 문제입니다. 이미 수년 전부터 경고가 이어져 온 공격 기법이 실제로 통신사의 핵심 서버를 뚫은 사례가 되면서, 보다 체계적인 보안 강화와 탐지 체계 고도화가 절실히 필요해졌습니다. 이번 사례를 계기로 통신사는 물론 모든 기업이 사이버 보안에 대한 경각심을 다시 높이는 계기가 되어야겠습니다.