KT 서버 43대 해킹 은폐 정황…알고도 정부에 숨겼다

악성코드 감염 서버 미신고, 내부망 접속 불법기기 정황, 인증서 관리 허점
소액결제 피해 2억 원대…정부, 영업중단까지 검토하며 수사 확대 중

KT가 지난해 악성코드 감염 서버를 확인하고도 이를 정부에 신고하지 않은 사실이 밝혀졌다.

과학기술정보통신부가 구성한 KT 침해사고 민관합동조사단은 6일 중간 조사 결과를 발표하며, KT가 2022년 3월부터 7월 사이 BPF도어와 웹셸 등 악성코드에 감염된 서버 43대를 자체적으로 처리하고 신고하지 않았다고 밝혔다.

조사단은 KT가 지난해 9월 소액결제 피해자 통화 이력을 분석하는 과정에서, 자사에 등록되지 않은 불법 기기가 내부망에 접속한 사실을 발견하고 한국인터넷진흥원(KISA)에 침해 사고를 신고한 것과 관련된 정황도 함께 확인했다. 이와 함께 불법 펨토셀을 통한 소액결제 및 개인정보 유출 사고, 국가 배후 조직에 의한 인증서 유출 정황 등 총 세 가지 사건이 조사 대상에 포함됐다.

조사단의 최우혁 단장은 "KT가 악성코드 감염 사고를 은폐한 정황이 드러났다"며 "서버 포렌식 분석을 통해 해킹을 파악했다"고 밝혔다. 다만, SK텔레콤 해킹 사건과 유사한 가입자 핵심 정보가 저장된 HSS 서버의 해킹 여부나 개인정보 유출 규모에 대해서는 아직 확인되지 않았다.

KT는 감염된 서버에 성명, 전화번호, 이메일 주소, 단말기 식별번호(IMEI) 등의 개인정보가 저장돼 있었던 것으로 보고했다. 현재까지 확인된 소액결제 피해자는 368명, 피해 규모는 약 2억4319만 원으로 집계됐다. 조사단은 피해자 분석 방식의 검증 및 누락된 피해자 존재 여부를 확인한 뒤 최종 피해 규모를 발표할 예정이다.

펨토셀 관리 체계의 허점도 드러났다. KT에 납품되는 모든 펨토셀이 동일한 인증서를 사용하는 구조로, 인증서 복사만으로 불법 펨토셀이 KT 망에 접속 가능했던 것으로 나타났다. 이 인증서는 유효기간이 10년으로 설정돼 한 번이라도 KT 망에 접속한 펨토셀이 지속적으로 접속할 수 있었다.

또한, KT는 미국 보안 전문 매체 '프랙'이 서버 해킹 가능성을 경고한 직후 해당 서버를 폐기한 것으로 드러났다. 조사단은 이를 '위계에 의한 공무집행 방해' 혐의로 경찰 수사를 의뢰했다. KT는 8월 KISA에 관련 서버를 폐기했다고 답했으나, 실제로는 여러 날에 걸쳐 폐기한 사실이 조사에서 확인됐다.

침해사고 신고 지연도 문제로 지적됐다. KT는 9월 1일 경찰로부터 무단 소액결제 발생 사실을 전달받고도, 불법 펨토셀 ID를 확인한 8일에야 KISA에 신고했다.

과학기술정보통신부는 KT의 유심 교체 과정에서 SK텔레콤 해킹 사건과 유사한 수급 대란이 발생할 경우, 영업 중단 조치를 검토할 방침이다. 조사단은 "이번 사안을 엄중히 보고 있다"며 "사실관계를 밝혀 관계기관에 합당한 조치를 요청할 것"이라고 밝혔다.

KT는 이번 사건과 관련하여 피해자에게 충분한 정보를 제공하고, 재발 방지를 위한 대책을 마련하겠다고 약속했다. 조사단은 펨토셀 관리 부실과 해킹 은폐 의혹에 대한 조사를 계속 이어갈 예정이다.

사진=연합뉴스