KT 소액결제 사태, 진실 공방 가열
KT 소액결제 해킹 사태가 장기화되면서 진실 공방이 가열되고 있습니다. 특히 KT의 초기 피해 규모 및 대상 발표와 실제 드러난 피해 사실 간의 간극이 커지면서, 통신사의 정보 공개 투명성과 소비자 보호 책임에 대한 의문이 제기되고 있습니다.
범죄 확산과 늘어난 피해 규모
사건은 지난달 5일부터 시작되었습니다. KT 이용자들을 대상으로 자신도 모르는 사이에 소액결제가 이루어지는 피해가 전국적으로 발생하기 시작했죠. 초기에는 광명, 금천구를 중심으로 수십 명의 피해자가 보고되었으나, 경찰과 KT의 자체 집계 결과는 계속해서 늘어나 현재 362명, 피해액 2억 4천여만 원에 달하는 것으로 파악되었습니다. 더욱이, KT 망을 이용하는 알뜰폰 가입자와 20년 이상 장기 가입자까지 피해를 입은 것으로 확인되면서, 특정 이용자층만 노린 공격이 아니라는 점이 분명해졌습니다. 40대 이용자가 가장 많은 피해를 겪었으며, 다양한 연령대의 고객이 노출되었습니다.
'5G 피해 없다'던 KT, 축소 의혹 정면 충돌
이번 사태의 핵심 쟁점은 KT의 초기 발표입니다. KT는 해킹 사고 직후, 피해가 LTE 가입자에게만 국한되었으며 5G 가입자는 가상번호를 사용해 안전하다고 공식 발표했습니다. KT 네트워크기술본부장은 "5G에서는 없었고, LTE에서만 발생했다"고 단언하기도 했죠. 하지만 실제 피해자 362명 중 95%가 5G 가입자인 것으로 드러나면서, KT가 사태의 파장을 축소하거나 의도적으로 모호하게 설명했다는 의혹이 제기되었습니다. 더불어민주당 노종면 의원은 이를 '5G 피해 사실을 가리기 위한 면책 수단'으로 의심하며 강하게 비판했습니다. KT의 초기 발표는 실제 피해 현황과 상당한 차이가 있었던 것으로 확인되었습니다.
'펨토셀' 타고 온 13년 전 보안 참사
사건의 주범으로 지목된 것은 '펨토셀'이라는 초소형 기지국입니다. 해커들은 펨토셀을 차량에 싣고 다니며 KT 이용자들의 휴대폰을 자신의 장비에 접속하도록 유도했습니다. 이 과정에서 휴대폰의 고유 식별 정보뿐 아니라, 소액 결제 시 필요한 인증 정보가 담긴 문자 메시지(SMS)를 가로챈 것으로 파악됩니다. 특히 KT의 'SMS over IMS' 방식의 보안 취약점, 즉 구형 펨토셀이나 피해자 휴대폰의 암호화 지원 여부가 해킹의 핵심 원인으로 지목됩니다. 이는 통신 과정에서 공격자가 정보를 가로채거나 조작하는 '중간자 공격(MITM)'을 가능하게 했습니다. 펨토셀의 보안 취약점은 13년 전인 2012년 한국인터넷진흥원(KISA)의 연구를 통해 이미 예고된 바 있습니다. 당시 KISA는 펨토셀에서 사용자 인증 토큰 복제 및 중간자 공격 가능성을 포함한 29가지 보안 위협을 제시했지만, 관련 자료가 보존 기간 경과로 제출되지 않아 후속 조치가 미흡했다는 지적이 나옵니다. KT는 약 23만 2천 대의 펨토셀을 보유하고 있으며, 이 중 상당수가 고장 난 상태로 파악되어 철거 및 차단 조치가 진행 중입니다.
경찰 수사 확대, KT 책임 회피 논란
경찰은 KT 서버 침해 정황과 무단 소액결제 사건의 연관성을 수사하기 위해 내사에 착수했습니다. 특히 KT가 서버 폐기 관련 허위 보고 의혹까지 받고 있어, 진상 규명에 난항이 예상됩니다. 범행에 가담한 것으로 알려진 피의자는 '윗선'의 지시에 따라 생활고 때문에 범행에 가담했다고 진술했으며, 경찰은 중국발 '윗선'의 신원 파악 및 인터폴 적색 수배 검토에 나섰습니다. KT는 초기 개인정보 유출 의혹을 부인했다가 사실을 인정하고, 피해 고객에게는 안전안심보험을 무료 제공하는 등의 조치를 취하고 있습니다. 하지만 결제대행사나 앱 스토어 운영사에 책임을 전가하는 듯한 태도로 이용자 불만이 지속되고 있습니다. KT의 잇따른 입장 번복과 부정확한 정보 공개는 소비자 신뢰를 크게 떨어뜨린 요인이 되었습니다.
정부 관리감독 부재와 향후 과제
이번 사태와 관련하여 국회 과학기술방송정보통신위원회는 24일 청문회를 개최했습니다. 청문회에서는 KT의 해명과 실제 피해 상황 간의 괴리, 서버 폐기 의혹, 그리고 책임 소재와 재발 방지 대책 등이 심도 있게 다뤄질 예정입니다. 정보통신망법은 소액결제 관련 통신사의 책임을 명확히 규정하고 있지만, 정부의 관리감독 소홀 문제도 제기되고 있습니다. 11년 전 피해 구제 원스톱 서비스 도입 발표 이후 관련 통계 집계를 누락하는 등 소극적인 대응이 통신사의 책임 회피를 부추겼다는 비판입니다. KT 소액결제 사태는 단순한 해킹을 넘어, 통신사의 정보 공개 투명성, 보안 시스템의 실효성, 그리고 정부의 관리감독 체계 전반에 대한 근본적인 질문을 던지고 있습니다. 앞으로 KT가 이번 사태에 대해 어떤 책임을 다하고, 소비자의 신뢰를 회복할 수 있을지가 중요한 과제가 될 것입니다. 또한, 펨토셀 등 신기술 도입에 따른 보안 강화와 정부의 철저한 관리감독이 요구되는 시점입니다.