과학기술정보통신부와 한국인터넷진흥원이 참여한 민관합동조사단은 2025년 11월 6일 KT 침해사고에 대한 중간 조사결과를 발표했다. 이번 사건은 소형 기지국(펨토셀)을 악용한 불법 접속을 통해 단말 인증정보와 결제정보가 유출된 것으로 확인되었다.
KT는 2024년 9월 8일 소액결제 피해자의 통화 이력 분석 중 내부망에 등록되지 않은 불법 기기가 접속한 사실을 발견하고 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 과학기술정보통신부는 사고의 중대성을 고려해 9월 9일부터 민관합동조사단을 구성하고 본격적인 분석에 착수했다.
조사단은 ▲불법 펨토셀에 의한 소액결제 및 개인정보 유출, ▲국가배후 조직의 인증서 유출 정황, ▲외부업체 보안점검 과정에서 발견된 서버 침해사고 등 세 가지 사안을 중심으로 KT의 보안 관리 실태를 점검했다.
조사 결과, KT에 납품된 모든 소형 기지국(펨토셀)은 동일한 인증서를 사용하고 있었으며, 이 인증서를 복사할 경우 불법 기지국도 내부망에 접속이 가능했다. 또한 인증서의 유효기간이 10년으로 설정되어 한 번이라도 접속 이력이 있는 기기는 지속적으로 접속할 수 있는 구조였다.
조사단은 제조사가 외주사에 계정, 인증서, IP 정보 등 중요 정보를 별도의 보안관리 절차 없이 제공했고, 펨토셀 내부 저장장치에서 해당 정보를 쉽게 확인할 수 있었음을 확인했다. KT는 내부망 접속 과정에서 비정상 통신(IP)을 차단하지 않았으며, 망에 등록되지 않은 기기의 형상정보 검증도 수행하지 않았다.
이 같은 관리 부실로 인해 불법 펨토셀이 망에 접근할 수 있는 환경이 조성되었다. 조사단은 통신 3사에 신규 소형기지국 접속을 제한하도록 지시하고, KT에 대해 인증서 유효기간 단축(10년 → 6개월), 유선 IP 외 통신 차단, 형상정보 확인 절차 강화 및 제품별 인증서 별도 발급 등을 명령했다.
전문가 자문과 테스트베드 실험 결과, 단말과 핵심망 간 암호화가 해제될 경우 불법 펨토셀이 자동응답체계(ARS) 및 단문메시지(SMS) 인증정보를 평문으로 탈취할 수 있는 것으로 확인되었다. 이는 결제 인증뿐 아니라 문자·음성 통화 정보까지 탈취 가능한 구조로, 조사단은 추가 실험을 통해 관련 가능성을 검증할 계획이다.
또한 조사단은 KT에서 2024년 3월부터 7월 사이 43대 서버가 BPFDoor 악성코드에 감염된 사실을 확인했다. KT는 이를 정부에 신고하지 않고 자체 조치하였으며, 일부 서버에는 성명·전화번호·이메일·단말식별번호(IMEI) 등 개인정보가 저장되어 있었다. 이는 정보통신망법상 3,000만원 이하 과태료 부과 대상에 해당한다.
KT는 2025년 9월 1일 경찰로부터 무단 소액결제 발생 사실을 통보받았으나, 9월 5일 이상 통신 패턴을 인지한 뒤에도 9월 8일 19시 16분에야 침해사고를 신고하였다. 외부업체 점검을 통해 9월 15일 내부 서버 침해흔적을 확인했지만, 이 역시 9월 18일 23시 57분에 지연 신고하였다. 두 건 모두 정보통신망법상 신고 의무 위반에 해당한다.
또한 조사단은 국가배후 조직의 인증서 유출 정황과 관련해 KT가 8월 1일 서버를 폐기했다고 보고했으나, 실제로는 8월 13일까지 세 차례에 걸쳐 폐기한 사실을 확인했다. KT는 백업 로그가 존재함에도 9월 18일까지 조사단에 보고하지 않았으며, 이에 조사단은 정부 조사를 방해한 고의성이 있다고 판단하고 형법 제137조(위계에 의한 공무집행방해) 위반으로 10월 2일 수사기관에 수사를 의뢰했다.
조사단은 경찰과 협력해 압수된 불법 장비를 분석 중이며, 개인정보보호위원회와 협력해 개인정보가 어떤 경로로 확보되었는지 조사 중이다. 과학기술정보통신부는 KT의 소형기지국 관리 문제, 악성코드 미신고, 조사방해 등 지금까지 확인된 사실과 향후 추가 조사 결과를 종합해 법률검토를 진행하고, KT 이용약관상 위약금 면제 사유 해당 여부를 공개할 계획이다.
이번 중간결과는 통신망 관리·인증체계의 구조적 문제를 드러낸 사례로, 정부는 통신사업자 전반의 기지국 인증 및 암호화 관리 강화 대책을 마련할 방침이다.
댓글
0