[단독] KT 해킹 사건은 “해킹의 교본 같은 사례”

보안업체 해킹 신고서 분석
“단순 해킹 아닌 중대한 침해”
KT “조사 성실히 임할 것”

<YONHAP PHOTO-3141> 경위 설명하는 KT 네트워크기술본부장 (서울=연합뉴스) 신준희 기자 = 19일 서울 종로구 정부서울청사에서 열린 해킹 대응을 위한 과기정통부-금융위 합동 브리핑에서 구재형 KT 네트워크기술본부장이 사고 경위를 설명하고 있다. 왼쪽은 금융위원회와 롯데카드 관계자(맨 왼쪽). 2025.9.19 hama@yna.co.kr/2025-09-19 10:52:48/<저작권자 ⓒ 1980-2025 ㈜연합뉴스. 무단 전재 재배포 금지, AI 학습 및 활용 금지>

KT 가입자에 대한 무단 소액 결제 피해 사건과 함께 발생한 KT 서버 해킹 사건이 ‘해커들이 저지른 해킹의 교본 같은 사례’라는 분석이 제기됐다. KT는 서버 해킹과 관련해 지난 18일 한국인터넷진흥원(KISA)에 신고했다면서 해킹을 당한 ‘흔적’ ‘의심’이 있다고 했다. 하지만 전문가들은 “보통의 해커들이 어떤 방식으로 침투해서 어떻게 데이터까지 빼낼 수 있는지를 잘 보여주는 전형적인 해킹 사례”라고 분석한다. KT의 고객 개인 정보 상당수가 이미 해킹을 통해 유출됐을 가능성이 크다는 것이다.

22일 본지는 국민의힘 최수진 의원실이 확보한 KT의 해킹 신고서를 익명을 요구한 A 보안 업체에 맡겨 KT가 해킹당한 정황에 대해 분석을 의뢰했다. A 업체는 우선 KT가 사고 신고서에 적시한 ‘윈도 서버 침투 후 측면 이동 시도’에 대해 “해커가 윈도 서버 1대에 먼저 침투한 이후 이를 기반으로 다른 서버로 이동하려고 시도했다는 뜻”이라며 “초기 침투는 피싱 메일이나 외부에서 접근 가능한 네트워크의 취약점을 통해 일어난다”고 했다. SK텔레콤 해킹 사태 때처럼 KT 네트워크에 존재하는 취약점을 파고들어 내부 서버에 침투했다는 의미다.

해커는 KT 서버에 악성 코드를 심었는데 KT는 신고서에 ‘Smominru 봇넷 감염’이라고 기재했다. 이를 분석한 A 업체는 “Smominru 봇넷은 2017년부터 활동한 악성 코드”라며 “KT 서버 일부가 악성 코드에 감염됐다는 것은 공격자(해커)가 원격에서 서버를 제어 가능한 상태였다는 말”이라고 했다. 해커가 KT 서버에 저장된 민감한 정보를 탈취하는 데 성공했고, 복수의 서버에도 침투했다는 것이다. 아직 KT에서 유출된 고객 정보의 종류나 규모는 밝혀지지 않았다.

KT가 신고서에 기재한 해킹 의심 정황에 대해서는 “해커들이 정상적인 인증 절차를 거치지 않고 몰래 네트워크에 접속할 수 있도록 백도어(우회 통로)를 심으려 한 것으로 보인다”면서 “언제든 해당 시스템에 들어와서 비밀번호 없이도 접속 가능하게 하였다는 뜻으로 ‘비밀키’도 유출된 정황이 있다”고 말했다. A 업체 연구원은 “이번 KT 해킹 사건은 매우 전형적이고 고도화된 해킹 과정의 전 과정을 보여주고 있다”면서 “단순한 해킹 시도가 아니라 실제 여러 서버의 해킹으로 이어진 중대한 침해 사고로 볼 수 있다”고 말했다. 이에 대해 KT 측은 “민관 합동 조사단의 조사에 성실히 임하고 추가 사실이 확인되는 대로 내용을 설명드리겠다”고 했다.