과학기술정보통신부(부총리 겸 과기정통부 장관 배경훈, 이하 과기정통부)는 KT, LGU+ 침해사고에 대한 민관합동조사단(이하 조사단) 조사 결과와 KT 이용약관의 위약금 면제 규정 적용 여부 검토 결과를 12월 29일 발표했다. 과기정통부는 이번 조사 결과를 토대로 KT 침해사고가 이용약관상 ‘기타 회사의 귀책 사유’에 해당해 전체 이용자에 대해 위약금 면제가 가능하다고 판단했다고 밝혔다.
조사단은 KT 사고와 관련해 불법 펨토셀을 통한 가입자 식별정보 유출과 무단 소액결제 피해, 그리고 악성코드 감염 서버 다수 발견 등을 확인했다. LGU+에 대해서는 익명의 제보자가 주장한 자료 가운데 통합 서버 접근제어 솔루션(APPM)과 연결된 일부 정보가 실제로 유출된 사실을 확인했지만, 핵심 경로에 대한 조사는 관련 시스템의 OS 재설치 또는 폐기 등으로 제한됐다고 설명했다.
KT 침해사고 원인과 피해
KT는 9월 8일 소액결제 피해자의 통화기록을 분석하는 과정에서 KT에 등록되지 않은 불법 기기가 내부망에 접속한 정황을 확인하고 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 과기정통부는 사고의 중대성과 공격 방식에 대한 정밀 분석이 필요하다고 보고 9월 9일 조사단을 구성해 피해 현황과 원인 등을 조사했다.
조사단은 불법 펨토셀 관련 침해사고, 익명 제보에 따른 KT 인증서 유출 정황(프랙 보고서, 8월 8일), 외부업체 보안점검 과정에서 발견된 서버 침해사고 등 3건을 대상으로 보안 문제점과 재발방지 대책을 마련했다고 밝혔다.
조사 방식과 관련해 조사단은 KT가 보유·관리하는 펨토셀 전반의 보안 실태를 점검하고, 경찰청과 협력해 피의자로부터 확보한 압수물을 정밀 분석했다. 또 KT 통신망 테스트베드를 활용해 펨토셀 운영 및 통신 암호화 관련 문제를 확인하고, 불법 펨토셀로 인한 개인정보 유출과 무단 소액결제 피해 규모도 검증했다. 이와 함께 KT 전체 서버 약 3만3000대를 대상으로 6차례 악성코드 감염 여부를 점검하고 감염 서버는 포렌식 분석을 통해 정보 유출 등 피해 여부를 확인했다고 설명했다.
조사단은 불법 펨토셀로 인해 2만2227명의 가입자 식별번호(IMSI), 단말기 식별번호(IMEI), 전화번호가 유출됐고, 368명(777건)이 무단 소액결제로 2억4300만원 규모의 피해를 입었다고 확인했다. 이는 KT가 10월 17일 발표한 피해 규모와 동일한 수치라고 밝혔다. 다만 통신결제 관련 데이터가 남아 있지 않은 기간(2024년 7월 31일 이전)에 대해서는 추가 피해 여부 확인이 불가능했다고 덧붙였다.
악성코드 감염과 관련해 조사단은 KT 서버 94대에서 BPFDoor와 루트킷 등 악성코드 103종 감염을 확인했다고 밝혔다. 이 가운데 KT가 2024년 3~7월 감염 서버를 발견하고도 정부 신고 없이 자체 조치한 서버는 41대로, BPFDoor 4종, 웹셸 16종, 원격제어형 악성코드 6종 등 26종을 확인했다고 설명했다. 중간조사 발표 당시 43대로 발표했던 수치는 추가 조사 결과 2대 서버가 악성코드 감염이 아닌 SQL 인젝션 및 스캐닝 공격 시도만 확인돼 41대로 정정됐다고 밝혔다.
또 KT가 외부업체 보안점검(2025년 5월 22일~9월 15일)에서 침해 흔적이 발견됐다고 확인한 서버와 연계 서버에 대한 포렌식 과정에서 53대 서버 감염, 루트킷 39종·백도어 36종·디도스 공격형 2종 등 77종 악성코드를 확인했다고 밝혔다. 조사단은 확인된 악성코드 정보를 피해 확산 방지를 위해 백신사, 경찰청, 국정원 등 주요 기관에 공유하고, 점검 가이드를 보호나라 누리집을 통해 배포했다고 설명했다.
정보 유출 여부에 대해 조사단은 일부 감염 서버에 이름, 전화번호, 이메일 등 개인정보가 저장돼 있으나, 로그가 남아 있는 기간에 대해서는 유출 정황이 없었다고 밝혔다. 다만 KT는 시스템 로그 보관 기간이 1~2개월에 불과하고 주요 시스템을 방화벽 등 보안장비 없이 운영해 로그 분석에 한계가 있었으며, 로그가 남지 않은 기간의 유출 여부는 확인할 수 없었다고 했다.
불법 펨토셀·암호화 문제 확인
조사단은 경찰이 확보한 불법 펨토셀을 포렌식 분석한 결과, 해당 장비에 KT망 접속에 필요한 KT 인증서와 인증서버 IP 정보가 포함돼 있고, 트래픽을 캡처해 제3의 장소로 전송하는 기능이 있다고 확인했다. 이를 바탕으로 공격자는 불법 펨토셀에 KT 펨토셀 인증서와 KT 서버 IP 정보를 복사해 KT 내부망에 접속한 뒤, 강한 전파를 내보내 정상 단말이 불법 펨토셀에 연결되도록 유도해 전화번호, IMSI, IMEI 등을 탈취한 것으로 조사됐다.
조사단은 공격자가 불법 펨토셀에서 탈취한 정보에 미상의 경로로 취득한 개인정보(성명, 생년월일, 휴대전화번호)를 결합해 피해자를 선정하고, 상품권 구매 사이트 접속 과정에서 ARS·SMS 인증정보를 불법 펨토셀을 통해 탈취해 무단 소액결제를 한 것으로 판단했다.
통신 암호화와 관련해서는 KT가 단말-펨토셀, 펨토셀-국사, 단말-코어망 구간에서 표준에 따라 암호화를 적용하고 있다고 설명하면서도, 이번 사고에서는 불법 펨토셀에 의해 종단 암호화가 해제돼 결제 인증정보(ARS, SMS)가 전송된 사실을 확인했다고 밝혔다. 조사단은 불법 펨토셀이 트래픽 캡처가 가능한 점을 들어 평문의 문자·통화 탈취도 가능하다고 했으며, 실제 탈취 흔적은 발견되지 않았다고 밝혔다.
또 일부 단말(아이폰 16 이하)의 경우 KT가 암호화 설정 자체를 지원하지 않아 SMS가 평문으로 전송되는 문제가 확인돼, KT가 해당 단말 통신 연결 시 종단 암호화 지원을 조치하도록 했다고 밝혔다(10월 16일~).
KT 보안체계 문제점과 재발방지 조치
조사단은 KT의 펨토셀 관리 체계가 부실해 불법 펨토셀이 내부망에 쉽게 접속할 수 있는 환경이었다고 지적했다. 납품되는 모든 펨토셀 제품이 동일 제조사 인증서를 사용해 인증서 복사 시 정상 펨토셀이 아니어도 내부망 인증서버로부터 KT 인증서를 받아 접속이 가능했고, KT 인증서 유효기간이 10년으로 설정돼 과거 접속 이력이 있는 펨토셀은 지속 접속이 가능한 문제도 확인됐다고 밝혔다.
또 KT는 내부망의 펨토셀 접속 인증 과정에서 타사·해외 IP 등 비정상 IP를 차단하지 않았고, 펨토셀 고유번호·설치 지역정보 등 형상정보가 등록 정보와 일치하는지 검증하지 않았다고 설명했다. 제조사가 셀ID, 인증서, KT 서버 IP 등 중요 정보를 보안관리 체계 없이 외주사에 제공했고 저장장치에서 손쉽게 확인·추출 가능한 점도 확인했다고 덧붙였다.
조사단은 불법 펨토셀 접속 차단을 위해 통신 3사의 신규 펨토셀 접속을 9월 10일 전면 제한했고, KT에 인증서 유효기간 단축(10년→1개월, 9월 10일), KT망 접속 요구 시 KT 유선 IP 외 차단(9월 23일), 형상정보 확인·인증(10월 3일~), 제품별 별도 인증서 발급(11월 5일) 등을 조치하도록 했다고 밝혔다. 재발방지 대책으로는 제조 단계 보안정책 마련, 시큐어 부팅 구현, KT 인증서버 IP 주기적 변경 및 대외비 관리, 이상징후 모니터링과 탐지·차단, 화이트해커 협력 등을 제시했다.
정보보호 활동과 거버넌스 측면에서도 문제점이 확인됐다. 조사단은 KT가 자체 규정에 따른 로그·이벤트 분석 기반 보안점검을 충분히 수행하지 않아 악성코드뿐 아니라 탐지가 비교적 쉬운 웹셸도 발견하지 못했다고 지적했다. 이에 EDR·백신 등 보안 솔루션 확대, 제로트러스트 도입, 분기 1회 이상 전 자산 취약점 정기점검과 제거 등을 제시했다.
보안장비 미비와 로그 단기 보관 문제도 확인됐다. 조사단은 펨토셀 인증 및 제품등록 관리 시스템이 방화벽 등 보안장비 없이 운영돼 외부 공격에 취약하고, 로그 보관 기간이 1~2개월에 불과해 침투 시점과 감염 방법 분석에 한계가 있었다고 밝혔다. 이에 방화벽 도입, 로그 최소 1년 이상 보관, 중앙 로그 관리 시스템 구축과 모니터링을 대책으로 제시했다.
거버넌스 측면에서는 법령상 CISO가 정보보호 업무를 총괄해야 함에도 보안 업무가 부문별로 분산돼 수행된다고 지적했다. 조사단은 CISO가 전사 정보보호 정책을 총괄 관리하도록 조직을 개편하고, 전사 중장기 보안 계획을 수립해야 한다고 밝혔다. 자산관리 미흡과 관련해서는 서버 점검 과정에서 자산 종류·규모·운용 여부 등 이력이 체계적으로 관리되지 않고 등록 정보와 실물 정보 불일치가 확인됐으며, 이에 CIO 지정과 자산관리 솔루션 도입이 필요하다고 했다. 공급망 보안과 관련해서는 펨토셀 표준 보안 규격서 및 SBOM 관리체계 부재, 유통 펨토셀 실시간 자산 현황관리 미흡을 지적하며 도입 단계부터 운영까지 전 과정 공급망 보안 관리체계 수립을 제시했다.
과거 침해사고 미신고 문제도 포함됐다. KT는 2024년 3월 보안점검 과정에서 웹셸 및 BPFDoor 등 악성코드를 발견했으나 정보통신망법에 따른 침해사고 신고 없이 자체 조치한 것으로 조사됐다. 조사단은 침해사고 발생 시 신속 보고체계 확립과 신고 의무 준수를 재발방지 대책으로 제시했다.
법 위반 제재 및 수사의뢰
과기정통부는 KT가 침해사고를 인지한 뒤 24시간 이내 신고해야 한다는 정보통신망법 규정을 지키지 않고 지연 신고하거나 미신고한 사례가 확인됐다고 밝혔다. 무단 소액결제 이상 통신패턴을 9월 5일 조치했으나 9월 8일 신고한 점, 외부 보안업체 점검에서 9월 15일 침해 흔적을 확인하고도 9월 18일 신고한 점, 2024년 악성코드 발견 미신고 등이 포함된다고 설명했다. 과기정통부는 정보통신망법에 따라 과태료를 부과할 예정이라고 밝혔다.
조사 방해 정황도 제시됐다. 과기정통부는 프랙 보고서에 제보된 침해 정황 서버와 관련해 KT가 8월 1일 서버를 폐기했다고 답변했으나 조사단에 폐기 시점을 허위로 제출했고, 폐기 서버 백업 로그가 있음에도 9월 18일까지 이를 보고하지 않았다고 밝혔다. 과기정통부는 정부 조사 방해를 위한 고의성이 있다고 판단해 형법 제137조(위계에 의한 공무집행방해)로 수사기관에 수사를 의뢰했다고 밝혔다(2025년 10월 2일).
KT 위약금 면제 적용 판단
KT 이용약관은 ‘기타 회사의 귀책 사유’로 이용자가 서비스를 해지할 경우 위약금을 면제하도록 규정하고 있다. 과기정통부는 이번 침해사고가 해당 규정에 해당하는지 검토하기 위해 조사 결과를 바탕으로 5개 기관에 법률 자문을 진행했다고 밝혔다.
과기정통부에 따르면 5개 기관 중 4개 기관은 이번 침해사고를 KT 과실로 판단했고, 펨토셀 관리 부실이 전체 이용자에 대한 안전한 통신서비스 제공이라는 계약상 주요 의무 위반이므로 위약금 면제 적용이 가능하다는 의견을 제시했다. 나머지 1개 기관은 정보 유출이 확인되지 않은 이용자에게는 위약금 면제 적용이 어렵다는 의견을 제시했다고 밝혔다.
과기정통부는 판단 과정에서 KT 과실 여부와 통신서비스 제공이라는 계약상 주된 의무 위반 여부를 중심으로 검토했다고 설명했다. 조사단 결과에 따르면 KT는 펨토셀 인증서 관리, 제작 외주사 보안관리, 비정상 IP 접속 관리, 펨토셀 형상정보 검증 등 기본 보안조치에서 문제점이 확인됐고 정보통신망법 위반 사실도 확인됐다. 과기정통부는 이를 근거로 KT가 안전한 통신서비스 제공을 위한 주의의무를 다하지 못했고 관련 법령도 위반했으므로 과실이 있다고 판단했다고 밝혔다.
또 과기정통부는 펨토셀이 이용자 단말과 KT 내부망을 연결하는 필수 요소인데, 관리 부실로 불법 펨토셀이 언제 어디서든 내부망에 접속할 수 있었고, 통신 트래픽 캡처가 가능한 불법 펨토셀에 연결된 이용자 단말에서 문자·음성통화 정보 탈취가 가능했던 점이 확인됐다고 밝혔다. 종단 암호화가 이뤄져야 하는 구간에서 불법 펨토셀로 인해 해제가 가능했던 사실도 확인된 만큼, 일부 지역에서 피해가 발생했는지 여부와 별개로 KT 전체 이용자가 위험에 노출됐다고 판단했다고 설명했다.
이에 따라 과기정통부는 이번 침해사고가 KT 이용약관상 위약금을 면제해야 하는 회사의 귀책 사유에 해당한다고 판단했다고 밝혔다.
LGU+ 침해사고 조사결과
LGU+의 경우 KISA가 7월 18일 익명의 제보자로부터 자료 유출 관련 정보를 입수했고, 7월 19일 LGU+에 관련 사항을 공유하며 침해사고 신고를 안내했다고 밝혔다. 과기정통부(KISA)는 8월 25일부터 LGU+ 현장 조사를 실시했고, LGU+가 10월 23일 KISA에 침해사고를 신고한 뒤 조사단(10월 24일~)을 구성해 운영했다고 설명했다.
조사 결과, 익명의 제보자가 유출됐다고 주장한 LGU+ 통합 서버 접근제어 솔루션(APPM)과 연결된 정보(서버 목록, 서버 계정정보, 임직원 성명)는 실제 유출된 것으로 확인됐다고 밝혔다. 다만 LGU+가 제출한 APPM 서버를 정밀 포렌식 분석한 결과 제보자가 공개한 자료와 상이함을 확인했다고 설명했다.
또 자료 유출이 추정되는 다른 APPM 서버는 운영체제 업그레이드(8월 12일) 등 작업이 이뤄져 침해사고 흔적 확인이 어려운 상황이었다고 밝혔다. 제보자가 “협력사를 해킹한 뒤 LGU+에 침투했다”고 주장한 부분에 대해서도 확인을 시도했지만, 협력사 직원 노트북에서 LGU+ APPM 서버로 이어지는 네트워크 경로상 주요 서버 등이 OS 재설치 또는 폐기(8월 12일~9월 15일)돼 조사가 불가능한 상황임을 확인했다고 밝혔다.
조사단은 KISA가 침해사고 정황 안내(7월 19일) 후 관련 서버 OS 재설치 또는 폐기 행위가 이뤄진 점을 고려해 부적절한 조치로 판단했고, 위계에 의한 공무집행 방해로 경찰청에 수사를 의뢰했다고 밝혔다(12월 9일).
정부의 향후 조치
과기정통부는 조사 결과를 바탕으로 KT에 재발방지 대책 이행계획을 2026년 1월 제출하도록 하고, 이행 여부를 2026년 4월까지 점검한 뒤 2026년 6월까지 확인할 계획이라고 밝혔다. 점검 결과 보완이 필요하면 정보통신망법 제48조의4에 따라 시정조치를 명령할 계획이라고 설명했다. 아울러 고의적 침해사고 미신고로 인한 피해 확산을 막기 위해 정보통신망법 개정을 통한 제재 강화 등 제도 개선도 추진하겠다고 밝혔다.
배경훈 부총리는 “이번 KT, LGU+ 침해사고는 SK텔레콤 침해사고에 이어 국가 핵심 기간통신망에 보안 허점이 드러난 엄중한 사안”이라며, 기업들이 정보보호를 경영의 핵심가치로 삼아야 한다고 강조했다. 또한 정부도 정보보호 역량 고도화에 최선을 다하고, 국민이 혁신적인 AI 서비스를 안심하고 누릴 수 있는 환경을 만들기 위해 노력하겠다고 밝혔다.
댓글
0