앱 통해 수집한 IMEI로 불법복제 '불가능'

휴대폰 업계 "보안업체들 지나친 위기 조장"

[아시아경제 명진규 기자]휴대폰 업계는 31일 기기식별정보(IMEI)와 유심카드의 시리얼번호로는 불법복제가 불가능하다고 밝히고 나섰다. 이같은 주장은 안드로이드폰용 애플리케이션 일부가 자체적으로 스마트폰의 기기식별정보와 유심(가입자인증모듈, USIM)의 시리얼 번호를 수집하는 바람에 보안업체들이 불법복제 가능성에 대해 우려를 표명하고 있는 가운데 제기된 것이어서 주목된다.

앞서 서울중앙지검 첨단범죄수사2부는 지난 30일 이토마토가 서비스하는 주식시세정보 애플리케이션 '증권통'이 개인정보를 불법으로 수집했다는 이유로 이토마토를 압수수색했다.

이토마토가 서비스하는 증권통은 별도의 로그인 절차 없이 실시간 주식시세 정보를 제공해왔다. 이 과정에서 안드로이드폰의 기기식별정보(IMEI)와 유심(가입자인증모듈, USIM)의 시리얼 번호를 수집한 것이다.

증권통을 이용하는 사람의 IMEI와 유심카드 시리얼 번호는 이토마토의 서버에 저장돼 로그인 정보로 활용된다. 이번 사례는 애플리케이션을 통한 개인정보 수집이라는 민감한 보안 문제를 다뤄 업계의 이목이 집중되고 있다.

보안업계는 IMEI와 유심카드 시리얼 번호가 유출될 경우, 이를 이용해 불법복제폰을 만들 수 있다는 주장이다. 국내에서 입수된 IMEI 리스트가 해외에서 밀거래 되고 있다는 의혹도 제기했다.

한 보안업계 관계자는 "IMEI값은 휴대폰 고유의 값으로 유출될 경우 불법복제폰 등의 악용 사례로 이어질 수 있다"며 "사용자들의 각별한 주의가 필요하다"고 말했다.

휴대폰 업체 및 이동통신사들에 따르면 보안업체들의 이런 주장들은 크게 과장된 것으로 밝혀졌다. 이론상 쌍둥이폰을 만들수는 있지만 쌍둥이폰을 이용해 명의도용 등이 불가능해 사실상 휴대폰 복제를 할 이유가 없다는 것이다.

IMEI는 휴대폰의 고유 번호다. 예를 들어 내가 갖고 있는 IMEI 값을 이용해 사용하고 있는 휴대폰과 동일한 복제폰을 만들 수는 있다. 하지만 이 휴대폰을 이용해 3자가 불법복제된 폰을 이용해 명의도용하거나 개인 정보를 빼낼 수는 없다. 바로 유심카드에 개인 정보가 모두 담겨 있기 때문이다.

즉, 유심카드 자체를 복제하지 않는 이상 불법복제폰을 만들 수 없는 셈이다. 유심카드에 저장된 개인정보는 암호화 돼 있기 때문에 이를 추출해 낸다고 해도 이용은 불가능하다. 애플리케이션을 통한 개인정보 수집도 불가능하다.

이 같은 오해는 2세대(2G) CDMA 시절 휴대폰 기기 자체에 개인 정보를 담은 장치일련번호(ESN)과 IMEI를 동일하게 여기는데서 발생한다. ESN의 경우 휴대폰의 고유 번호인 동시에 개인정보와 동일하다. 때문에 ESN이 유출될 경우 명의를 도용한 쌍둥이폰을 만들 수 있다. 개인정보마저도 빼돌리는 사례까지 보고된 바 있다.

이런 이유로 해외에서는 IMEI 값을 박스에 표기하거나 배터리 안쪽에 새겨 놓는다. 단순히 쌍둥이 폰을 만든다고 해도 복제된 유심카드가 없으면 불법복제하는 의미가 없다보니 사실상 개인정보 문제가 발생하지 않는다는 것이다.

IMEI 값을 수집하는 애플리케이션도 다수 존재한다. 이토마토의 애플리케이션처럼 IMEI 값을 수집하는 애플리케이션을 비롯해 사용자의 위치 정보를 서버로 전송하는 애플리케이션도 존재한다. 스마트폰용 애플리케이션이 급증하면서 이 같은 현상은 계속 이어지고 있는 상황이다.

휴대폰 업계 관계자는 "일부 보안업체들이 계속 IMEI를 통한 불법복제 문제를 지적하고 있는데 가입자 식별 모듈을 별도로 사용하는 3G폰에서는 불법복제로 인한 명의 도용 등의 문제가 절대 발생할 수 없다"며 "유심카드의 개인 정보는 애플리케이션을 통해 빼돌릴 수 없는데 지나치게 위기를 조장하는 사례가 많은 상황"이라고 말했다.

명진규 기자 aeon@