정부가 해킹 방지를 소홀히 해 이용자에게 안전한 통신 서비스를 제공할 의무를 다하지 못한 책임을 물어 KT에 전 이용자를 대상으로 위약금 면제 조치를 할 것을 29일 요구했다.
과학기술정보통신부는 이날 정부서울청사에서 서버 94대가 악성코드 103종에 감염돼 있었고 통화 정보가 유출될 위험이 있었던 KT가 이용자에 대한 위약금 면제 실시 대상에 해당한다는 내용을 골자로 한 KT 침해 사고 최종 조사 결과를 발표했다.
민관 합동 조사단이 KT 서버 3만3000대를 6차례에 걸쳐 점검한 결과 서버 94대가 BPF도어(BPFDoor), 루트킷, 디도스 공격형 코드 등 악성코드 103종에 감염돼 있었다. 이는 올해 7월 악성코드 33종에 감염됐던 SK텔레콤(SKT)보다 3배 이상 많은 규모다.
악성코드는 2022년 4월부터 인터넷 연결 접점이 있는 서버의 파일 업로드 과정 취약점을 통해 침투한 것으로 확인됐다. 특히 KT는 2024년 3월부터 7월까지 감염 서버를 발견하고도 정부에 신고하지 않고 서버 41대에 대해 자체 조치한 사실이 드러났다. 이들 서버에는 BPF도어 4종, 웹셸 16종, 원격제어형 악성코드 6종 등 총 26종의 악성코드가 감염돼 있었다.
조사단은 불법 초소형 기지국(펨토셀)으로 인한 침해 사고로 2만2227명의 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호가 유출됐고 368명이 무단 소액결제로 2억4300만원의 피해를 입은 것으로 확인했다. 다만 통신결제 관련 데이터가 남아있지 않은 2024년 7월 31일 이전 기간에 대해서는 추가 피해 여부를 확인할 수 없었다.
조사단은 경찰이 무단 소액결제범들로부터 확보한 불법 펨토셀을 포렌식 분석한 결과 이들 기기에 KT 망 접속에 필요한 KT 인증서 및 인증 서버 IP 정보와 해당 기지국을 거쳐 가는 트래픽을 가로채 제삼의 장소로 전송하는 기능이 있음을 확인했다.
공격자는 불법 펨토셀에 KT 펨토셀 인증서와 KT 서버 IP 정보를 복사해 내부망에 접속한 뒤 강한 전파를 방출해 정상 단말을 불법 펨토셀에 붙게 만들어 전화번호, IMSI, IMEI 등을 탈취한 것으로 조사됐다. 이후 공격자는 탈취한 정보에 미상의 경로로 취득한 개인정보(성명, 생년월일, 휴대전화번호)를 결합해 피해자를 선별하고 상품권 구매 과정에서 ARS·SMS 인증정보를 불법 펨토셀로 가로채 무단 소액결제를 일으킨 것으로 파악됐다.
단말기에서 코어망에 이르는 통신 과정에서 암호화가 풀리면서 ARS, SMS 등 결제 인증 정보가 탈취됐을 뿐 아니라 이용자의 문자, 통화 내용이 유출되는 일도 가능한 것으로 확인됐다. 원칙적으로 단말에서 코어망까지 종단 암호화(IPSec)가 유지돼야 하는데 불법 펨토셀이 개입하면서 암호화 해제가 가능해져 ARS·SMS 인증정보가 평문으로 전송될 수 있었다.
특히 아이폰 16 이하 기종 등 일부 단말기에는 KT가 암호화 설정 자체를 지원하지 않고 있었던 것으로 드러났다.
조사단은 KT의 펨토셀 관리 체계가 전반적으로 부실해 불법 펨토셀이 KT 내부망에 언제 어디서든 접속할 수 있었다고 지적했다. 모든 펨토셀 제품이 동일한 제조사 인증서를 사용하고 있어 이를 복사하면 정상 펨토셀이 아니더라도 KT 망에 접속할 수 있었고 타사 또는 해외 IP 등 비정상 IP를 차단하지 않고 있었으며 정상 정보인지 검증 체계도 없었다. KT 인증서 유효기간이 10년으로 길어 KT망에 접속한 이력이 있는 펨토셀은 지속적으로 접속할 수 있는 문제점도 발견됐다.
과기정통부는 KT 보안 조치의 총체적인 미흡이 위약금 면제 사유에 해당한다고 판단했다. 약관에 명시된 "회사의 귀책 사유로 이용자가 서비스를 해지할 경우 위약금을 면제할 수 있다"는 규정에 부합하며 특히 평문의 문자, 음성 통화가 제삼자에게 새어나갈 위험성은 소액결제 피해를 본 일부 이용자에 국한된 것이 아니라 전체 이용자에 해당한다고 봤기 때문이다.
류제명 과기정통부 제2차관은 "침해사고에서 KT 과실이 발견된 점, KT가 계약상 주된 의무인 안전한 통신서비스 제공 의무를 다하지 못한 점 등을 고려할 때 침해사고는 KT 전체 이용자를 대상으로 KT 이용약관상 위약금을 면제해야 하는 회사의 귀책사유에 해당한다고 판단했다"고 밝혔다.
과기정통부는 민관합동조사단의 조사 결과를 바탕으로 5개 로펌에 법률 자문을 진행했다. 자문 결과 4개 기관에서 펨토셀 관리 부실이 전체 이용자에 대해 안전한 통신서비스 제공이라는 계약의 주요 의무 위반이기 때문에 위약금 면제 규정 적용이 가능하다는 의견을 제시했다. 1개 기관에서는 정보 유출이 확인되지 않은 이용자에게는 위약금 면제 규정 적용이 어렵다는 의견을 냈다.
KT 무단 소액결제 피해를 봤거나 개인정보가 유출된 가입자는 물론 피해가 확인되지 않은 가입자도 계약기간과 무관하게 위약금 없이 이동통신사를 이동할 수 있게 됐다. 다만 정부는 SK텔레콤 해킹 사태와 달리 KT에 신규 영업 정지 조치는 내리지 않았다.
KT는 "결과 발표를 엄중하게 받아들인다"며 "고객 보상과 정보보안 혁신 방안이 확정되는 대로 조속히 발표할 예정"이라고 밝혔다. KT는 SK텔레콤 사례와 같이 소급 적용, 기간 등 자세한 내용을 소비자와 국민 눈높이에 맞춰 판단할 것으로 보인다.
앞서 SK텔레콤의 위약금 면제 기간 동안 13만명 가량이 이통사를 이탈한 바 있다. 다만 올해 이동통신 3사 모두 대형 해킹을 겪은 데다 금융·플랫폼·전자상거래 등 다양한 업종에서 보안 사고가 이어지면서 증폭된 피로감으로 가입자 이동이 제한적일 것이란 관측도 나온다.
배경훈 부총리 겸 과학기술정보통신부 장관은 "이번 KT 침해사고는 SK텔레콤 침해사고에 이어 국가 핵심 기간통신망에 보안 허점이 드러난 엄중한 사안"이라며 "기업들은 국민이 신뢰할 수 있는 안전한 서비스 환경을 만드는 것이 생존의 필수 조건임을 인식하고 정보보호를 경영의 핵심가치로 삼아야 한다"고 강조했다.
댓글
0