최우혁 과학기술정보통신부 네트워크정책실장이 6일 서울 종로구 정부서울청사에서 KT 침해사고 중간 조사결과를 발표하고 있다. 연합뉴스
━
무슨 일이야 ‘KT 무단 소액결제 사건’을 조사 중인 민관합동조사단(이하 조사단)은 6일 정부 서울청사에서 중간 조사결과 브리핑을 열고 “지난해 3~7월 KT의 서버 43대에서 한국농협대학 ‘BPF도어’ ‘웹셀’ 등 다수의 악성코드가 설치된 사실을 발견했다”고 발표했다. 감염된 서버는 펨토셀(초소형 기지국)과 연계된 서버로, 고객 이름, 전화번호, 이메일 주소, IMEI(단말기 고유식별번호) 등 개인정보가 저장된 것으로 확인됐다. 민관합동조사단장인 최우혁 과학기술정보통신부 네트워크정책실장은 “이번 사안을 엄중하게 보고 있다”며 “사실관계를 롯데인터넷 명확하게 파악한 뒤 엄정한 조치를 내릴 것”이라고 말했다.
BPF도어는 올해 4월 발생한 SKT 해킹 사태 주범으로도 꼽히는 악성코드다. 해커가 감시망을 피해 몰래 접근할 수 있게 설치하는 백도어(Backdoor·뒷문)의 일종이다. 일반 악성코드와 달리 은밀하게 통신을 제어하도록 설계된 고급 스텔스(Stealth·눈에 카드불법모집 띄지 않는) 기능을 갖췄다. 기존 보안 시스템 탐지를 우회할 수 있고, 로그(기록) 흔적도 남기지 않아 발견하기 어렵다.
━
이게 왜 중요해 조사단은 KT가 악성코드 침해 사실을 은폐한 정황도 공개했다. 최우혁 실장은 “KT가 악성코드 침해 사실을 개인회생전문 인지했지만 이를 한국인터넷진흥원(KISA)에 신고하지 않고 흔적(악성코드)을 지우기 위해 백신을 돌렸다”며 “이는 명백한 은폐행위이고 정보통신망법 상 과태료 부과 대상 행위”라고 말했다. 감염 서버를 확인할 수 있었던 것도 서버 포렌식 조사 중 백신 작동 기록을 포착한 다음 KT를 추궁한 결과였다.
KT는 지난 8월 중도상환이란 11일 한국인터넷진흥원(KISA)로부터 원격상담시스템 서버 해킹 정황을 통보받았지만, 이를 공개하지 않고 내부적으로 해당 서버를 폐기한 의혹도 받고 있다. KT는 9월 18일 이를 인정하고 해킹 피해를 신고했다. 지난달 합동조사단은 KT가 서버 폐기 시점을 허위 보고한 행위가 위계에 의한 공무집행 방해 혐의라며 경찰에 수사를 의뢰했다. 최우혁 실장은 “KT가 보고한 43대란 수치를 최소 수치로 가정하고, 포렌식 조사를 시행할 것”이라고 말했다. 이에 대해 KT측은 입장문을 통해 "악성코드 발견사실을 지연 신고해 송구하다"고 밝혔다.
━
더 알아보면 조사단은 KT 무단 소액결제 사태는 불법 펨토셀이 원인이 됐다고 설명했다. 자체 테스트 결과 불법 펨토셀을 통해 2차 인증 정보가 담긴 ARS(자동응답전화), 문자메시지도 탈취할 수 있는 것으로 나타났기 때문이다. 조사단은 또 KT의 펨토셀 관리가 전반적으로 부실했다고 지적했다. KT에 납품되는 펨토셀이 모두 동일한 인증서를 사용하고 있어서 이 인증서만 복사하면 불법 펨토셀도 KT망에 접근할 수 있어서다. 다른 회사 IP(인터넷 주소)나 해외IP 등 비정상 IP 접속을 차단하는 프로토콜도 없었다.
━
앞으로는 조사단은 경찰과 공조해 무단 소액결제 사건 피의자로부터 확보한 불법 펨토셀을 더 정밀하게 분석할 예정이다. 최종 조사결과가 나오면 펨토셀 관리 부실 문제, 악성코드 감염 은폐 의혹 등을 종합해 수사의뢰 등 법률적 조치를 취할 계획이다. KT는 지난 4일 무단 소액결제 사태에 대한 보상안으로 1600만명 고객 전원을 대상으로 유심 무상 교체 방안을 발표했다. 다만 전 고객 대상 위약금 면제 조치는 아직 결정하지 않은 상황이다.
