국정원 "KT 일부 스마트폰 문자 암호화 풀려"…사이버 위협 경고

KT, 해킹 가능성 제보받고도 침묵…BPF도어 감염 사실도 뒤늦게 드러나
최민희 "국정원 통보에도 무기력 대응…KT 경영진 책임 끝까지 묻겠다"

정부, KT "엄중 조치" 예고 (서울=연합뉴스) 서명곤 기자 = KT가 지난해 BPF도어(BPFDoor)라는 은닉성이 강한 악성 코드에 서버가 대량 감염된 사실을 자체 파악하고도 당국에 신고하지 않고 은폐한 것으로 파악됐다. BPF도어는 올해 초 불거진 SKT 해킹 사례에서도 큰 피해를 준 악성 코드다. KT 해킹 사고를 조사 중인 민관 합동 조사단은 6일 정부서울청사에서 중간 조사 결과에 대한 브리핑을 통해 이같이 밝혔다. 사진은 이날 서울 광화문 KT 본사 모습. 2025.11.6 seephoto@yna.co.kr

(서울=연합뉴스) 최현석 조성미 박형빈 기자 = 국가정보원이 지난 9월 KT 일부 스마트폰에서 문자 메시지(SMS) 암호화가 해제되는 현상을 직접 확인한 뒤 이를 국가 사이버 안보를 위협할 수 있는 중대한 정보로 판단해 KT와 과학기술정보통신부에 공식 통보한 것으로 드러났다.

13일 국정원이 국회 과학기술정보방송통신위원장 최민희 의원(더불어민주당)에게 제출한 자료에 따르면 국정원은 "KT의 일부 스마트폰 기종에서 문자 암호화가 해제될 수 있다"는 제보를 입수한 후 사실관계를 검증했다.

결과적으로 문자 통신이 '종단 암호화(End-to-End Encryption)' 방식으로 보호되지 않아 중간 서버에서 복호화될 수 있는 취약점을 확인했다는 것이다.

이통사들은 국제표준화기구(ISO)와 한국정보통신기술협회(TTA)의 권고에 따라 송신부터 수신까지 중간 서버가 내용을 복기할 수 없도록 종단 암호화를 적용하고 있다.

그러나 국정원의 검증 결과, KT 일부 단말기에서는 이 보호 장치가 무력화된 것으로 파악됐다.

다만 국정원은 암호화 해제가 발생한 구체적 기종이나 경위, 실제 정보 유출 여부에 대해서는 밝히지 않았다.

이에 따라 정부·민간 합동으로 구성된 KT 해킹 조사단은 국정원의 통보 내용을 토대로 "일부 스마트폰만의 문제가 아닌 KT 전체 가입자 망에서도 동일 현상이 재현될 수 있는지"를 추가로 조사 중이다.

앞서 KT는 소액결제 해킹 사건에서도 해커가 피해자들의 문자·ARS 인증정보를 탈취한 사실이 확인됐다.

조사단은 해커들이 불법 중계기지국(펨토셀)을 조작해 KT 코어망으로 전송되는 SMS·ARS 신호의 암호화를 해제, 평문 상태로 가로챈 뒤 인증 및 결제에 악용했을 가능성을 기술적으로 검증했다고 밝혔다.

현재 조사단은 인증정보뿐 아니라 일반 통화·문자 데이터까지 외부 공격자가 접근할 수 있는지를 정밀 분석 중이다.

KT, 작년 서버 해킹 알고도 은폐 정황 [연합뉴스 자료사진]

아울러 최민희 의원이 과기정통부로부터 제출받은 자료는 또 다른 파장을 불러일으키고 있다.

자료에 따르면 KT는 지난해 3월 BPF도어(BPFDoor) 악성코드 감염을 확인하고 다음 달인 4월에야 관련 사실을 파악한 뒤 대만 보안업체 트렌드마이크로에 백신 업데이트를 요청한 것으로 드러났다.

트렌드마이크로는 한국 통신사 대상 BPF도어 공격 사실을 분석해 발표했지만, 당시 고객사 사정을 이유로 구체적인 통신사명을 공개하지 않았다.

문제는 KT가 이 같은 사실을 조직적으로 은폐했다는 의혹이다.

최민희 의원 측은 국정원의 문자 암호화 해제 통보와 맞물려 "KT가 BPF도어 감염 사실을 알고도 외부에 알리지 않았고 국정원 통보에도 무기력하게 대응했다"고 비판했다.

조사 결과, BPF도어에 감염된 것으로 확인된 서버 43대 가운데에는 가입자 개인 정보가 저장된 서버도 포함된 것으로 알려졌다.

이에 대해 KT는 "당사의 BPF도어 공격 식별 및 조치 시점은 지난해 4월에서 7월 사이로 트렌드마이크로가 언급한 일부 시점(지난해 7월·12월)과 차이가 있다"고 설명했다.

아울러 KT는 과기정통부에 '피해 사례는 없었다'고 보고한 배경에 대해 "피해를 확인하지 못해 피해 사례 없음으로 보고했다"는 취지를 밝혔다.

이 사태의 핵심은 악성코드 감염 사실과 대응 시점에 대한 KT의 보고·공개 과정에서 설명 가능한 차이가 존재하는지 여부다. 감염된 서버에 가입자 정보가 포함된 정황이 사실이라면 그에 따른 잠재적 위험을 왜 조기에 공개·차단하지 않았는지에 대한 책임 문제도 있다.

최민희 의원은 KT 경영진의 책임을 끝까지 묻겠다는 입장을 재차 밝혔다.

현재 정부·민간 합동 조사단은 문자 암호화 해제와 BPF도어 감염이 해킹 사건과 어떤 인과관계가 있는지 그리고 실제 정보 유출·피해 여부를 규명하기 위해 조사를 이어가고 있다.

harrison@yna.co.kr csm@yna.co.kr binzz@yna.co.kr

▶제보는 카톡 okjebo