“방법 없어요” “도움 못 드려요”…‘무단 결제 사태’ KT, 고객 대응도 ‘우왕좌왕’

지난달 26일 문제 발생 신고에…“수상한 문자 눌렀냐”
SK텔레콤은 나흘, KT는 열흘 만에 공지…늑장 대응

[사진 = 연합뉴스]

KT에서 초유의 소액결제 침해 사태가 발생해 통신 시장이 혼란에 빠졌다. 이용자 사이에서 불안이 확산하고 피해 신고 사례가 증가하는 가운데 고객센터의 미숙한 운영이 도마에 올랐다. KT가 초기 대응 기회를 놓치고 안내 지침을 마련하지 않아 피해가 커졌다는 지적이다.

10일 매경AX 취재를 종합하면 A씨는 지난달 26일 새벽 1시께 카카오톡 메시지 한 통을 받았다. 핀토피아 홈페이지에 회원 가입이 완료됐다는 알림이었다. 핀토피아는 문화상품권결제업체였다. A씨가 문자메시지외 패스 애플리케이션을 통한 본인 인증 절차를 거치지 않았음에도 가입 처리가 된 것이다.

A씨는 친구에게 문자메시지를 보내 줄 것을 요청지만, 단 한 건의 메시지도 수신하지 못하는 현상을 겪었다. 통신 데이터 탈취가 의심되는 대목이다. 스마트폰을 재부팅한 뒤에야 문자메시지 수·발신이 정상화됐다. A씨는 KT망을 사용하는 알뜰폰 이용자였다.

A씨는 고객센터에 피해 사실을 알리며 해킹을 의심했다. 하지만 상담원으로부터 그럴 리 없다는 답변을 들었다. 해당 상담원은 “스미싱 문자를 누름으로 인해 악성 코드나 악성 애플리케이션이 설치되는 경우가 더러 있다”라며 “그런 것이 아니라면 도움을 드리기 어려운 부분이니 수사기관에 연락해야 한다”고 말했다.

A씨는 “명의 도용 피해를 막기 위한 절차나 서비스가 있다면 알려 달라”고 요구했다. 상담원은 “번호 도용 문자 차단 서비스 가입을 도와드릴 수 있다”고 제안했다. 번호 도용 문자 차단은 온라인 사이트에서 A씨에게 문자를 보내지 못하도록 등록하는 서비스다. A씨에게 적절한 대책은 아니었다.

A씨는 “무슨 일인지 알아보려는 시도조차 하지 않아 화가 났다”며 “앞서 SK텔레콤 해킹 이슈가 있었던 만큼 KT가 민감하게 반응해야만 했던 사안”이라고 꼬집었다.

A씨가 지난달 6일 오전 1시 2분에 받은 사이트 회원 가입 확인 메시지(왼쪽). A씨가 친구와 주고받은 문자 메시지. 친구가 바보라고 보냈지만(오른쪽 위), A씨는 받지 못했다(오른쪽 아래). [사진 = 독자 제공]

B씨도 비슷한 피해를 겪었다. B씨는 핀토피아에 회원 가입된 사실을 확인하고 곧장 소액 결제 한도를 조정해 추가 피해를 막을 수 있었다. B씨는 본인 인증 시 필요한 이름, 생년월일, 휴대전화번호 등 개인정보가 유출됐다고 생각해 이날 고객센터에 연락했다.

상담원은 “고객님이 이용하지 않았는데 소액결제가 됐다면 담당 부서나 피해 보상에 대한 업무 처리 방안이 있다”라면서도 “하지만 고객님은 피해자가 아니기에 조치 방법이 없다”고 설명했다.

B씨는 “개인정보가 악용됐는데 어떻게 피해자가 아니라는 것인지 납득하기 어렵다”며 “KT의 안일한 대처가 이 사건 피해 규모를 키운 것”이라고 분통을 터뜨렸다.

고객센터 연결도 난항이다. 온라인 커뮤니티에는 KT 고객센터 연결이 어렵다는 불만 섞인 게시물이 잇따라 게재됐다. 실제로 기자가 KT 고객센터와의 통화를 시도했지만 10분이 넘어가자 다음에 다시 전화해 달라는 안내 멘트와 함께 연결이 자동 종료됐다. KT는 전문 상담원을 배치한 피해고객 전담 콜센터를 이용해 줄 것을 당부하고 있다.

한편, 과학기술정보통신부에 따르면 KT에 접수된 무단 소액결제 관련 민원은 177건으로 집계됐다. 피해액은 7782만원으로 산출됐다. 이 사고는 지난달 26일 처음 발생했다. 경기도 광명시·부천시·과천시, 서울시 금천구·영등포구 등에서 비슷한 유형의 피해 신고가 잇따랐다.

하지만 KT는 지난 6일이 돼서야 홈페이지에 공지사항을 띄웠다. SK텔레콤이 유심(USIM) 정보 유출을 인지한 지 나흘 만에 공개한 것과 대조된다. 비정상 소액결제 시도에 대한 차단도 지난 5일에서야 이뤄졌다.

통신업계에서는 KT 가입자들이 위험에 무방비로 노출돼 있다며 보호 장치 마련이 시급하다는 목소리가 나온다. 고객별 이상 거래 내역 고지, 전 가입자에게 피해 확인 방법 안내, 디지털 소외계층 피해 접수, 개인정보 유출 여부 확인, 서버 전수 조사 등이 필수적이라는 주장이다.