KT 43대 서버 악성코드 감염 은폐
불법 펨토셀 소액결제 피해 발생
펨토셀 공격 암호화 무력화 확인
[세종=뉴스핌] 이경태 기자 = KT가 지난 3~7월 악성코드에 감염된 서버 43대를 발견하고도 정부에 신고하지 않은 채 자체 처리한 것으로 드러났다. 조사 과정에서는 서버 폐기 시점을 허위로 보고하고 백업 로그를 은폐해 위계에 의한 공무집행방해 혐의로 수사를 받게 됐다.
과학기술정보통신부 민관합동조사단은 6일 KT 침해사고 중간 조사결과를 발표하며 이같이 밝혔다.
조사단은 서버 포렌식 분석을 통해 KT가 BPFDoor, 웹셸 등 악성코드 감염 서버를 발견했으며, 일부 서버에는 성명, 전화번호, 이메일주소, 단말기 식별번호(IMEI) 등의 정보가 저장돼 있었다고 설명했다. 정보통신망법상 침해사고 발생 시 즉시 신고해야 하지만 KT는 이를 위반해 3000만원 이하 과태료 부과 대상이 됐다.
 |
| 23일 더불어민주당 노종면 의원실이 경찰에서 제출받은 자료에 따르면 KT는 지난 1일 경찰에게 무단 소액결제 사건에 대한 연락을 받고 담당 부서 '뺑뺑이'를 돌리면서 21시간이 지난 뒤에야 피해 확인에 나섰다. [사진=뉴스핌 DB] |
더구나 KT가 조사 과정에서 정부를 속인 정황도 밝혀졌다. 프랙 보고서에 언급된 KT 인증서 유출 정황과 관련해 KT는 8월 1일 관련 서버를 폐기했다고 한국인터넷진흥원(KISA)에 답변했지만, 실제로는 8월 1일(2대), 6일(4대), 13일(2대)에 걸쳐 폐기했다. 또한 폐기 서버 백업 로그가 있었음에도 9월 18일까지 조사단에 보고하지 않았다.
조사단은 KT가 정부 조사를 방해하기 위한 고의성이 있다고 판단해 지난달 2일 위계에 의한 공무집행방해 혐의로 수사기관에 수사를 의뢰했다. 조사단 관계자는 "이 사안을 엄중히 보고 있으며, 사실관계를 면밀히 밝혀 관계기관에 합당한 조치를 요청할 계획"이라고 밝혔다.
조사단은 이번 침해사고의 핵심 원인으로 KT의 펨토셀 인증 관리 문제를 지적했다. KT에 납품되는 모든 펨토셀이 동일한 인증서를 사용하고 있어 인증서를 복사하면 불법 펨토셀도 KT망 접속이 가능했다. 인증서 유효기간도 10년으로 설정돼 한 번이라도 KT망에 접속한 이력이 있는 펨토셀은 지속적으로 접속할 수 있었다.
펨토셀 제조사는 셀ID, 인증서, KT 서버 IP 등 중요정보를 보안관리 체계 없이 펨토셀 제작 외주사에 제공했고, 펨토셀 저장 장치에서 해당 정보를 쉽게 확인 및 추출할 수 있었다. KT는 내부망 접속 인증 과정에서 타사 또는 해외 IP 등 비정상 IP를 차단하지 않았고, 펨토셀의 형상정보가 등록된 정보인지 여부도 검증하지 않았다.
조사단은 "KT의 펨토셀 관리 체계가 전반적으로 부실해 불법 펨토셀이 KT 내부망에 쉽게 접속할 수 있는 환경이었다"고 평가했다.
조사단은 불법 펨토셀 공격의 기술적 메커니즘도 구체적으로 밝혔다. 전문가 의견 청취와 KT 통신망 테스트베드 실험을 통해 불법 펨토셀을 장악한 자가 단말과 코어망 간 종단 암호화를 해제할 수 있었고, 암호화가 해제된 상태에서 소액결제 인증정보(ARS, SMS)를 평문으로 취득할 수 있었던 것으로 판단했다.
KT는 국제표준화기구(3GPP) 및 한국정보통신기술협회(TTA) 표준권고에 따라 단말과 기지국 간 구간 암호화와 단말과 코어망 간 종단 암호화를 하고 있었으나, 불법 펨토셀이 이 암호화 체계를 무력화한 것으로 나타났다.
조사단은 불법 펨토셀을 통해 결제 인증정보뿐 아니라 문자, 음성통화 탈취가 가능한지에 대해서도 전문가 자문 및 추가 실험을 통해 조사해 나갈 계획이다.
조사단은 불법 펨토셀 접속 차단을 위해 통신3사의 신규 펨토셀 접속을 전면 제한(9월 10일)하고 KT에 펨토셀 인증서 유효기간을 10년에서 1개월로 단축(9월 10일), KT 유선 IP 외 차단(9월 23일), 형상정보 확인 및 인증(10월 3일~), 펨토셀 제품별 별도 인증서 발급(11월 5일) 등을 조치하도록 했다.
앞서 KT는 지난달 17일 불법 펨토셀 20개에 접속한 2만2227명의 가입자 식별번호(IMSI), 단말기 식별번호(IMEI), 전화번호가 유출됐고, 368명이 2억4319만원의 소액결제 피해를 입었다고 발표했다. KT는 통신기록이 남아있는 2024년 8월 1일부터 2025년 9월 10일까지의 모든 기지국 접속 이력 약 4조300억건과 모든 KT 가입자의 결제 약 1억5000만건을 분석해 이같은 피해 규모를 파악했다.
KT는 지난 9월 1일 경찰로부터 특정 지역의 무단 소액결제 발생을 전달받고 내부망의 이상 통신 호 패턴을 발견해 9월 5일 오전 3시 차단 조치했지만, 불법 펨토셀 ID의 존재를 확인한 후인 9월 8일 오후 7시 16분에야 침해사고를 신고했다.
또한 KT는 외부 업체를 통한 보안점검 결과 9월 15일 내부 서버에 대한 침해 흔적을 확인했으나 9월 18일 오후 11시 57분에야 침해사고를 신고했다. 두 건 모두 정보통신망법 위반으로 3천만원 이하 과태료 부과 대상이다.
과기부는 최종 조사결과를 국민에게 투명하게 공개하고, 지금까지 확인된 사실관계 및 추후 밝혀질 조사결과를 토대로 법률검토를 거쳐 KT의 이용약관상 위약금 면제 사유 해당 여부를 발표할 계획이다.
biggerthanseoul@newspim.com
