[이코노미스트 김기론 기자] KT가 지난해 해킹 공격으로 자사 서버가 대규모 감염됐음에도 이를 정부에 신고하지 않고 은폐한 것으로 드러났다. 해당 악성코드는 올해 초 SK텔레콤 해킹 사태에서도 피해를 야기한 ‘BPF도어(BPFDoor)’로, 은닉성이 강하고 탐지가 어려운 것이 특징이다.

6일 과학기술정보통신부와 민관 합동 조사단은 정부서울청사에서 열린 브리핑을 통해 “KT가 지난해 3∼7월 사이 BPF도어 및 웹셸(WebShell) 등 악성코드에 감염된 서버 43대를 자체적으로 발견하고도 이를 당국에 보고하지 않았다”고 밝혔다. 조사단은 “KT가 해당 사실을 은폐한 정황을 엄중히 보고 있다”며 “사실관계를 명확히 한 뒤 관계기관에 합당한 조치를 요청할 예정”이라고 밝혔다.

조사 결과, 감염된 서버에는 성명, 전화번호, 이메일 주소, 단말기 식별번호(IMEI) 등 고객 개인정보가 저장돼 있었던 것으로 확인됐다. 그러나 KT는 외부 기관 통보 없이 내부적으로만 대응 조치를 진행한 것으로 조사됐다. 이로 인해 올해 초 SKT 사태 이후 정부가 통신업계 전반을 대상으로 BPF도어 감염 여부를 전수조사했을 때도, KT의 감염 사실은 드러나지 않았다.

이번 조사에서는 KT의 펨토셀(Femtocell·초소형 기지국) 관리 부실도 함께 드러났다. 펨토셀은 실내 통신 품질을 개선하기 위해 설치되는 소형 장비지만, KT는 납품된 모든 펨토셀에 동일한 인증서를 사용하고 유효기간도 10년으로 설정해 불법 펨토셀이 KT 망에 접속할 수 있는 구조적 취약점을 방치했다. 인증서 복제만으로도 KT 내부망 접속이 가능했던 셈이다.

또한, KT는 펨토셀 제작 외주사에 셀 ID, 인증서, 서버 IP 등 핵심 정보를 별도 보안관리 체계 없이 제공했으며, 이 정보들은 장치 내 저장장치에서 쉽게 추출할 수 있는 것으로 드러났다.

조사단은 “KT가 내부망 접속 과정에서 비정상 IP 차단이나 등록 정보 검증 절차를 거치지 않았고, 암호화 해제 상태에서 결제 인증정보를 평문으로 탈취할 수 있었던 점이 심각하다”고 지적했다. 불법 펨토셀이 장악될 경우 ARS·SMS 인증정보뿐 아니라 문자·통화 내용까지 탈취될 가능성이 제기돼 추가 조사가 진행될 예정이다.

과기정통부는 KT의 펨토셀 관리 부실 및 해킹 은폐 의혹과 관련해 법률 검토를 거쳐 위약금 면제 사유에 해당하는지 여부를 발표할 계획이다. 조사단 관계자는 “일부 소액결제 피해자의 기지국 접속 이력이 남지 않은 사례도 확인됐다”며 “KT의 피해자 분석 방식을 재검증해 누락된 피해자가 없는지 추가 점검할 방침”이라고 밝혔다.

앞서 KT는 무단 소액결제 사고 발생 시점에 관해 확인이 어렵다며 밝히지 않고 있었지만, 지난 9월 10일 연합뉴스 보도에 따르면 경찰은 KT 측에 지난 1일 연쇄 소액결제 피해가 일어나고 있다는 사실을 알린 것으로 파악됐다.

당시 수사를 맡은 경찰 관계자는 "KT 측에 알린 접촉 대상이 본사, 지점, 중개소 등 한두 곳이 아니었다"며 "당시 KT의 답변은 'KT는 뚫릴 수가 없다. 해킹당할 수가 없다. (그런 부류의 사건은) 발생할 수가 없다'는 것이었다"고 전한 바 있었다.

한편, KT는 해킹 및 무단 소액결제 사태 후속 대책으로 지난 5일 오전 9시부터 KT닷컴 홈페이지를 통해 유심 무상 교체 접수를 시작했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지