전수조사? 해커에게 당한 KT가 답하지 못한 것들 [추적+]

더스쿠프 심층취재 추적+
KT 펨토셀 해킹 사건 그 후
접속기록 전수조사 발표한 KT
하지만 풀리지 않는 의문들
조사기간 이전 기록 불투명
부실한 펨토셀 관리도 문제

# KT가 17일 소액결제 피해를 전수조사한 결과를 발표했습니다. 피해 규모는 더 커졌습니다. 불법 기지국(펨토셀)과 이를 통한 소액결제 내역이 추가로 발견됐습니다. 해킹범이 기지국에 접속을 시도한 정황도 새롭게 드러났습니다.

# 그렇다면 KT의 소액결제 사건은 이제 일단락된 걸까요? 그렇지 않습니다. KT가 꼼꼼하게 전수조사를 실시했다고 밝혔지만, 풀리지 않은 의문은 여전히 많습니다. 그중엔 KT가 '대답하지 못한 것들'도 숱합니다.

# 이들이 중요하지 않은 것도 아닙니다. 대부분 이번 사태와 직결되는 핵심 이슈들입니다. 도대체 KT 소액결제 사건의 전모는 언제쯤 드러날까요? 더스쿠프가 KT가 답하지 못한 이슈를 점검했습니다.

지난 9월 11일 소액결제 피해 관련 기자 브리핑에 참석한 김영섭 KT 대표. [사진 | 뉴시스]

KT 소액결제 피해 논란이 일파만파로 확산하고 있습니다. 역설적이지만, KT가 17일 추가로 확인된 소액결제 피해 사례를 기자 브리핑을 통해 밝히면서 논란이 더 커졌습니다.

여기서 잠깐, KT 소액결제 피해가 무엇이고 어떻게 이뤄졌는지 한번 더 복기해볼까요? 지난 8월 말, KT 통신사 이용자 사이에서 '무단 소액결제' 논란이 터졌습니다. 원인은 해킹이었습니다. 해커가 KT의 펨토셀(femtocell)을 경로로 이용자의 휴대전화에 접속해 모바일 상품권을 구매하거나 교통카드를 충전했던 겁니다.

펨토셀은 100조분의 1을 의미하는 펨토(femto)와 휴대전화 통신 영역 단위인 셀(cell)을 합성한 말입니다. 사람이 밀집한 지하철역이나 건물에 설치해 전파 수신이 불량한 곳에서 '증폭기' 역할을 합니다.

피해는 생각보다 컸습니다. 9월 18일 당시 KT가 파악한 소액결제 피해자는 362명, 피해액은 2억4000만원이었습니다. 경찰이 해커를 수사하는 과정에서 KT가 관리하지 않는 불법 펨토셀 ID 4개도 발견했습니다.

문제는 여기가 끝이 아니었다는 점입니다. KT가 통신결제내역을 전수조사를 해보니, 불법 펨토셀과 소액결제 피해가 추가로 발견됐습니다. 피해 규모가 더 커진 셈입니다. KT가 부랴부랴 기자 브리핑을 열고 전수조사 결과를 발표한 이유입니다.

이제 조사 결과를 볼까요? KT는 2024년 8월 1일부터 올해 9월 10일까지 13개월간 발생한 모든 통신과금대행 결제내역을 조사했습니다. 조사 대상은 소액결제 8400만건과 DCB결제(앱스토어를 통한 결제) 6300만건, 기타 결제 300만건 등 총 1억5000만건이었죠.

이중에서 불법 펨토셀을 통해 이뤄진 결제를 구분하기 위해 KT는 휴대전화와 기지국 간에 발생한 접속 기록 4조300억건을 조사했습니다. 불법 펨토셀 ID의 접속 이력과 전체 결제 데이터를 교차 검증하는 방식을 사용해 불법 펨토셀을 통한 결제를 걸러냈습니다.

그 결과, KT는 불법 펨토셀 ID를 16개 추가로 발견했고, 소액결제 피해자 6명을 추가로 파악했습니다. 이들 이용자의 피해액은 319만원입니다. 이에 따라 해커들이 KT 무단 소액결제에 악용한 불법 펨토셀은 4개에서 20개로, 피해자는 362명에서 368명으로, 피해금액은 2억4000만원에서 2억4319만원으로 늘어났습니다.

[일러스트 | 게티이미지뱅크, 더스쿠프 포토]

달라진 건 이뿐만이 아닙니다. 펨토셀 ID에 접속한 이력이 있는 고객은 기존 2만명에서 2만2200명으로 2200명 증가했습니다. 최초로 개인 정보가 유출된 시기도 올해 6월 26일에서 지난해 10월로 앞당겨졌죠. 피해 규모는 물론 피해 시점도 확대된 셈입니다.

이런 점을 의식했는지 KT 관계자는 브리핑에서 "9월 5일 비정상적인 소액 결제 시도를 차단한 이후로는 추가 피해가 발생하지 않았다"면서 "앞으로도 정부 조사와 경찰 수사에 적극 협조하고 피해 재발 방지 대책을 마련하는 데 최선을 다하겠다"고 말했습니다.

어떤가요. 이번 전수조사 결과로 사건의 전모가 드러난 것 같나요? 그렇지 않습니다. KT가 답하지 못한 의문점들은 여전히 남아 있습니다. 그게 무엇인지 지금부터 하나씩 들여다보겠습니다.

■ 의문① 애매한 조사 기간 = 언급했듯 KT는 전수조사 기간을 지난해 8월 1일에서 올해 9월 10일로 13개월로 잡았습니다. KT는 조사기간을 이렇게 설정한 이유를 다음과 같이 밝혔습니다. "관련 법령과 규정에 의해서 저장된 1년치 데이터에 KT가 삭제하지 않은 1개월치를 더해 총 13개월간 발생한 데이터를 분석했다."

KT는 구체적으로 어떤 법령과 규정을 따랐는지까지는 밝히지 않았는데, 근거로 삼았을 법한 시행령이 있긴 합니다. '정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령'입니다. 이 시행령 제66조의7에 따르면, 통신과금서비스제공자는 소액결제를 포함한 통신과금서비스의 거래기록을 1년간 보존해야 합니다. KT가 13개월치 데이터를 들여다봤으니, 형식 면에선 시행령을 잘 따랐다고 볼 수 있겠죠.

문제는 그 이전의 기록은 여전히 불투명하다는 점입니다. KT가 2024년 8월 1일까지만 조사한 만큼, 8월 1일 이전에 불법 소액결제가 발생했을 가능성을 배제할 수 없습니다. 피해 규모가 KT의 조사 결과보다 더 클 수 있다는 얘깁니다.

KT는 "불법 펨토셀이 KT 기지국과 접속을 시작한 시점은 지난해 10월 8일"이라고 밝혔지만, 이는 어디까지나 지난해 8월 1일까지의 조사 결과를 토대로 산출한 시점일 뿐입니다. KT 관계자는 "불법 펨토셀을 통한 해킹은 비교적 최근에 발생한 신종 수법"이라면서 "이 이상의 피해는 없을 거라고 보지만 (추가 피해를 파악하기 위해) 최선은 다하고 있다"면서 말을 아꼈습니다.

[사진 | 더스쿠프 포토]

■ 의문② 개인정보는 어떻게 = 풀리지 않는 의문은 또 있습니다. 해킹범이 어떻게 피해자의 개인정보를 탈취해 무단으로 소액결제를 할 수 있었냐는 겁니다. 일반적으로 소액결제를 하려면 휴대전화 번호와 이름과 생년월일, 성별 같은 개인정보가 필요합니다. 결제 액수가 크다면 ARS 전화 인증이 추가로 요구되죠.

하지만 펨토셀을 통해 이용자의 휴대전화를 해킹하는 것만으론 이런 개인정보를 확보하기가 어렵습니다. 펨토셀은 무선 데이터 신호를 중계할 뿐, 이용자의 신원정보 저장소에는 접근 권한이 없기 때문이죠.

익명을 원한 보안업체의 한 관계자는 "해커가 기존에 갖고 있던 개인정보와 펨토셀에서 가로챈 정보를 결합해 소액결제를 진행했을 가능성이 있다"면서 "이 개인 정보가 KT 서버에서 유출된 것이라면 정말 심각한 문제"라고 지적했습니다.

그렇다면 문제는 지금보다 훨씬 더 커집니다. 개인정보가 어떤 경로로 유출됐는지를 파악해야 하는데, KT 내부 서버나 외부 연동 시스템 등 조사해야 할 영역이 적지 않습니다. KT는 이번에도 말을 아꼈습니다. "현재 민관합동 조사단에서 KT 내부 서버 등을 조사하고 있는 상황이다. 정확한 결과가 나오면 발표할 것으로 보고 있다."

■ 의문③ 부실한 관리 = 펨토셀 논란도 여전합니다. "펨토셀을 왜 이렇게 부실하게 관리했냐"는 겁니다. 애당초 KT가 불법 펨토셀을 구분하지 못한 데다, 이번 전수조사로 추가 불법 펨토셀 ID(16개)가 쏟아졌으니 이런 말이 나올 만합니다.

게다가 KT는 이동통신 3사 중 압도적으로 많은 펨토셀을 갖고 있습니다. 국회 과학기술정보방송통신위원회 소속 최수진 의원(국민의힘)의 자료에 따르면, KT는 현재 15만7000대의 펨토셀을 운영하고 있었습니다. SK텔레콤 7000대, LG유플러스 2만8000대와 비교가 되지 않습니다.

이처럼 압도적으로 많은 펨토셀을 운영하고 있지만, KT의 관리 체계는 경쟁사보다 훨씬 허술합니다. 국회 과학기술정보방송통신위원회 소속 이해민 의원(조국혁신당)이 21일 이통3사로부터 받은 자료에 따르면, KT는 펨토셀을 설치·개통할 때 '벤더키' 값이 일치하기만 하면 아이피섹(IPsec) 통신(데이터의 도청·변조를 막는 암호화 통신) 인증서를 펨토셀에 발급했습니다. 벤더키는 펨토셀 제조사가 펨토셀을 쓰는 통신사를 구분하기 위해 부여하는 값입니다.

문제는 KT가 자사의 모든 펨토셀 장비에 동일한 벤더키를 적용했다는 점입니다. 이 말을 풀어 설명하면, KT 전용 벤더키만 입수해 적용하면 어떤 펨토셀이든 'KT 펨토셀'로 둔갑시킬 수 있는 겁니다. SK텔레콤과 LG유플러스가 펨토셀마다 제조사 인증서, 유심(USIM) 정보 등을 다르게 부여한 것과 비교하면 KT의 보안 수준이 얼마나 부실한지 엿볼 수 있습니다.

이 의원은 21일 국정감사에서 "KT는 LG유플러스와 같은 제조사가 만든 펨토셀 장비를 사용했지만, 가장 기본적인 인증 절차를 강화하지 않았기 때문에 KT망에서만 불법 접속이 가능했던 것"이라며 "추가 인증 단계에서의 우회 가능성도 철저하게 조사해야 한다"고 꼬집었습니다.

[사진 | 뉴시스]

참고인으로 참석한 구현모 KT 전 대표이사는 "KT CEO를 3년간 맡으면서 취약점을 발견하지 못했다"면서 "죄송하게 생각한다"고 말했습니다. 증인으로 출석한 김영섭 KT 대표도 "최고경영자로서 총체적 책임이 있다"면서 "일정 수순 수습이 되고 나면 마땅한 책임을 지겠다"고 말했습니다. '사퇴를 뜻하는 것이냐'는 질문엔 "사퇴를 포괄하는 책임이라고 말씀 드리겠다"고 답했습니다. 사실상 사퇴 입장을 표명한 셈입니다.

이처럼 KT가 답하지 못한 의문들은 여전히 숱합니다. 이는 KT 소액결제 피해가 이제 시작이라는 얘기이기도 합니다. 경찰이 해킹범을 검거하고, KT가 수조개의 방대한 접속기록을 조사해 발표했지만, 어느 하나 명쾌하게 풀린 것 없이 의문들만 커져가고 있습니다. 여기서 그치지 않고 KT의 관리 시스템 전반에 뿌리내린 구조적 부실도 여실히 드러났습니다. KT는 이 사태를 과연 어떻게 수습할 수 있을까요?

이혁기 더스쿠프 기자
lhk@thescoop.co.kr