KT 서버 해킹, 개인정보 유출 의혹 확산
국내 대표 통신사인 KT에서 발생한 서버 해킹 사건이 개인정보 유출 및 늑장 신고 논란으로 번지면서 통신 보안에 대한 우려가 커지고 있습니다. 최근 불법 초소형 기지국(펨토셀)을 이용한 무단 소액결제 피해가 잇따르는 가운데, KT의 중앙 서버 침해 사실이 드러나면서 사건의 파장이 일파만파 퍼지고 있습니다. 이번 사건은 단순한 해킹을 넘어, 복잡한 범죄 구조와 통신사의 대응 미흡까지 복합적으로 드러내고 있다는 평가입니다.
불법 기지국 통해 고객 정보 탈취 정황
사건은 지난 9월 초, KT 가입자들을 대상으로 발생한 무단 소액결제 피해 조사에서 시작되었습니다. 피의자들은 중국에 있는 상급 조직의 지시를 받아 불법으로 구축한 초소형 기지국을 통해 고객들의 전화번호와 같은 개인정보를 탈취한 것으로 파악되었습니다. 초기에는 200여 명의 피해자와 1억 2천만 원가량의 피해액이 신고되었으나, KT 자체 조사 결과 피해자는 362명, 총 피해액은 2억 4천만 원으로 늘어났습니다.
이 과정에서 KT 측은 처음에는 개인정보 유출 정황이 없다고 밝혔으나, 펨토셀을 통한 IMSI(국제 모바일 가입자 식별 정보) 유출을 확인한 후 입장을 번복했습니다. 이후 추가 조사에서는 IMSI뿐만 아니라 IMEI(국제 모바일 장비 식별 번호)와 휴대폰 번호까지 유출된 것으로 확인되면서, 해킹으로 인한 개인정보 유출 가능성을 완전히 배제할 수 없게 되었습니다.
서버 침해와 ‘복제폰’ 논란
KT의 이번 사태에서 가장 주목받는 부분은 중앙 서버에서 침해 흔적이 발견되었다는 점입니다. KT는 자체 보안 점검 과정에서 4건의 침해 흔적과 2건의 의심 정황을 확인하고 한국인터넷진흥원(KISA)에 신고했습니다. 이 침해는 윈도우 서버 취약점을 이용한 것으로, 측면 이동 시도, 원격 코드 실행, 민감 정보 탈취 등 고도화된 수법이 사용된 것으로 분석됩니다.
이는 KT가 그동안 강력하게 부인해왔던 ‘복제폰’ 가능성에 대한 의문을 증폭시킵니다. 복제폰 제작에는 유심(USIM) 인증키와 같은 핵심 정보가 필요한데, KT는 인증키가 보관된 서버는 침해되지 않았다고 주장해왔습니다. 하지만 서버 침해 사실이 밝혀지면서, 용의자들이 복제폰 제작을 시도했거나 시도하려 했던 것은 아닌지, 혹은 다른 방식의 범죄를 위해 서버 정보를 활용한 것은 아닌지에 대한 의혹이 제기되고 있습니다.
전문가들은 이번 범죄가 완전 범죄를 노리고 검거 위험이 상대적으로 낮은 소액 결제를 목표로 삼았을 가능성을 제기합니다. 유심 인증키를 확보하지 못한 상황에서, 해킹된 개인정보와 펨토셀로 수집한 전화번호를 결합하여 소액 결제 범죄를 저질렀다는 분석입니다. 하지만 해킹 수법이 고도화됨에 따라, 앞으로 유사한 방식의 범죄가 발생할 수 있다는 경고도 나오고 있습니다.
늑장 신고 의혹과 정부 부실 점검 논란
KT의 대응 과정 또한 도마 위에 올랐습니다. KT는 해킹 정황을 처음 인지한 시점은 9월 15일 오후였으나, 관련 법규상 24시간 내 신고해야 할 의무를 어기고 3일 뒤인 18일에서야 KISA에 신고한 것으로 드러났습니다. KT 측은 외부 보안업체 보고서의 사실 관계를 확인하는 데 시간이 소요되었다고 해명했지만, 늑장 신고라는 비판을 피하기 어렵게 되었습니다.
더욱이, 정부가 앞서 통신 3사 서버에 대한 전수 조사에서 KT와 LG유플러스 서버에 해킹 흔적이 없다고 발표했던 사실이 뒤늦게 밝혀지면서 부실 점검 논란이 확산되었습니다. 과학기술정보통신부 2차관이 ‘서버 전수조사’가 사실과 다르다고 시인하며, 당시 조사가 시간 부족으로 특정 서버(HSS 서버)의 악성코드 감염 여부만 확인하는 데 그쳤음이 드러났습니다. 이는 개인정보 보호에 대한 정부의 관리 감독 소홀로 이어질 수 있다는 지적입니다.
KT는 지난해 정보보호에 1250억 원을 투자하고 내년에는 2000억 원을 투자할 계획이었으나, 이번 사건으로 인해 보안 시스템에 대한 신뢰도가 크게 하락했습니다.
향후 조사와 보안 강화 과제
현재 경찰은 불법 기지국 장비와 KT 서버 해킹의 연관성을 집중적으로 조사하고 있습니다. 중국 상급 조직과의 공조 가능성, 추가 공범 여부 등도 수사 선상에 올라 있습니다. 민관합동조사단은 구체적인 범행 과정과 피해 규모를 면밀히 검증할 예정입니다.
이번 KT 해킹 사건은 통신망 보안의 취약점을 다시 한번 드러낸 계기가 되었습니다. 연이은 개인정보 유출 사고에 정부는 보안 사고 발생 시 징벌적 과징금을 부과하는 방안을 검토하고 있습니다. 다만, 보안 업계에서는 기업 책임만 묻는 것은 정부의 책임 유기라는 지적도 나오고 있어, 향후 정부와 통신 업계의 보안 강화 노력이 더욱 중요해질 전망입니다.