KT, 감염 서버 43대 은폐 정황…정부 수사의뢰·고객 위약금 면제 검토

[이데일리 권하영 기자] KT(030200)가 지난해 악성코드 감염 사실을 숨기고, 보안 관리 부실로 대규모 정보 유출과 무단 소액결제 피해를 초래한 정황이 확인됐다.

[이데일리 문승용 기자]

최우혁 과기정통부 네트워크정책실장이 6일 정부서울청사에서 민관합동조사단의 KT 침해사고 조사 중간 결과를 발표하고 있다. (사진=권하영 기자)

과학기술정보통신부 민관합동조사단은 6일 정부서울청사에서 KT 침해사고 중간조사 결과를 발표하며 “KT가 2024년 3~7월에 BPF도어 등 악성코드에 감염된 서버 43대를 발견하고도 정부에 신고하지 않았다”고 밝혔다. 감염된 일부 서버에는 성명·전화번호·이메일주소 등 고객정보가 저장돼 있었다.

최우혁 과기정통부 네트워크정책실장은 브리핑에서 “조사단의 포렌식 조사 과정에서 KT가 펨토셀 관련 서버에서 BPF도어를 검출해내는 스크립트(백신)를 돌린 흔적을 발견했다”며 “구체적인 조사 결과는 추후 발표하겠다”고 말했다.

KT는 악성코드 감염뿐 아니라 침해 사실을 인지하고도 지연 신고했다. 9월 1일 경찰로부터 무단 소액결제 정보를 전달받고 5일 새벽 차단 조치를 했으나, 8일 오후에서야 침해사고를 신고했다. 9월 15일 외부 보안점검을 통해 내부 서버 침해 흔적을 발견했지만 역시 18일 밤늦게 보고했다.

조사단은 또 KT가 8월 1일 ‘인증서 유출 서버를 폐기했다’고 허위 보고한 정황도 확인했다. 8월 프랙 보고서가 주장한 KT 인증서 유출 정황 관련, 실제로는 1일부터 13일까지 해당 서버를 순차 폐기했으며, 백업 로그도 보고하지 않았다. 조사단은 KT가 정부 조사를 방해했다고 보고 형법상 ‘위계에 의한 공무집행방해’ 혐의로 수사기관에 의뢰했다.

이같은 미신고 및 지연 신고 행위는 정보통신망법상 3000만원 이하 과태료 부과 대상이다. 최 실장은 “망법상으로는 과태료 조치밖에 없지만 경찰 수사 의뢰를 통해 형법상 문제제기를 했으므로 그에 따른 처벌이 가능할 것으로 보인다”고 언급했다.

KT 무단 소액결제 사고는 불법 펨토셀(기지국 장비)을 통한 인증 정보(ARS·SMS) 탈취로 시작됐다. 조사단에 따르면 KT는 납품되는 모든 펨토셀이 동일한 인증서를 사용하고, 유효기간도 10년으로 설정하는 등 관리가 허술했다. 제조사 역시 중요 서버 정보를 외주업체에 전달해 보안 통제가 이뤄지지 않았다.

조사단은 이로 인해 불법 펨토셀이 내부망에 쉽게 접속해 단말과 코어망 간 암호화를 해제, 인증 정보를 평문으로 탈취했을 가능성이 있다고 판단했다.

다만 무단 소액결제에 필요한 성명·전화번호 등 개인정보가 어떻게 유출됐는지는 아직 조사 중이다. 과기정통부는 이번에 발견된 감염 서버에 담긴 개인정보가 무단 소액결제에 활용됐을 가능성에 대해 “개인정보보호위원회와 함께 연계 가능성을 정밀하게 조사할 것”이라고 언급했다.

KT는 2024년 8월~2025년 9월까지 약 4조300억 건의 기지국 접속 이력과 1억5000만건의 결제 기록을 분석한 결과, 불법 펨토셀 20대에 2만2227명 가입자 정보가 유출되고, 368명이 2억4319만원 규모의 소액결제 피해를 본 것으로 파악했다. 다만 2024년 8월 이전 피해 규모는 확인되지 않았다.

과기정통부는 “KT의 펨토셀 관리 부실과 악성코드 미신고, 조사 방해 정황 등을 종합해 법률 검토 후 고객 위약금 면제 등 추가 조치를 검토할 계획”이라고 밝혔다.