불법 초소형 기지국 세워 신원정보 빼갔나 [KT 무단 소액결제 사태] 작성일 09-10 59 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">폰 서버 오가는 트래픽 탈취 가능<br>IMSI 신원정보로 무단 결제 인증<br>단말기에 악성코드 배포 가능성도<br>피해액 1.7억···"서버 포렌식 해야"<br>이통3사, 신규 통신망 접속 제한</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="Fmb9iEHElQ"> <div contents-hash="f7ad20ea303e83c658cab9b09949ba6cd304e80dc0a8e79b8e55948179f5d2ff" dmcf-pid="3sK2nDXDhP" dmcf-ptype="general"> [서울경제] <p>KT 가입자 무단 소액 결제 사건의 원인으로 지목된 불법 초소형 기지국, 이른바 ‘가짜 기지국’은 사용자 신원을 가로채 정보를 탈취하고 스마트폰을 제어하는 해킹 수단으로 해외에서 널리 쓰이고 있다. 이번 사건 역시 아직 구체적인 경위는 밝혀지지 않았지만 비슷한 수법으로 KT 가입자들을 해킹했을 것으로 분석된다. 다만 국내에서는 낯선 수법이라 제대로 설명이 안 되는 부분도 있어 KT 서버에 대한 포렌식 분석으로 사건을 정밀 조사해야 한다는 게 전문가 주장이다.</p> </div> <figure class="figure_frm origin_fig" contents-hash="6bc270d4d175b2bc8f0d55170ce9360c96f467a58a421465ffb7566091211612" dmcf-pid="0O9VLwZwT6" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/10/seouleconomy/20250910174227825qild.jpg" data-org-width="640" dmcf-mid="tNTW78A8Cx" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/10/seouleconomy/20250910174227825qild.jpg" width="658"></p> </figure> <p contents-hash="2c2c74bf0246ea14ddba54f4e2a6c62ad5fc6d6ebf554f52a05e70968924c3e2" dmcf-pid="pI2for5rT8" dmcf-ptype="general">10일 통신 업계에 따르면 무단 소액 결제 피해 지역에 설치됐던 가짜 기지국은 트래픽 탈취나 악성코드 배포로 KT 가입자들의 스마트폰을 해킹했을 가능성이 유력하다. 기지국은 이동통신망과 스마트폰을 서로 연결하는 역할을 한다. 이 과정에서 가입자식별키(IMSI) 같은 신원 정보부터 웹사이트 접속과 계정 정보까지 사용자가 통신사 서버와 주고받는 데이터인 트래픽이 모두 기지국을 거쳐간다. 가짜 기지국은 해커가 통신사 몰래 기지국 역할을 흉내 내도록 설치한 통신 장비다. 통신사가 관리하지 않고 심지어 KT처럼 한동안 존재조차 모를 수 있어 사용자가 통신사로 보내는 민감 정보가 중간에서 쉽게 가로채질 수 있는 구조다.</p> <p contents-hash="4cb1fc1a693b6b5aea1551a21258ddc3f697e5e0c4ba98dff7ddf4dddb2f8084" dmcf-pid="UCV4gm1my4" dmcf-ptype="general">업계는 특히 IMSI 등 신원 정보 탈취 가능성에 주목하고 있다. 일반적인 해킹의 경우 결제 등 악용 과정에서 통신사가 IMSI를 대조해 실제 사용자가 맞는지 의심하는 ‘비정상 인증 시도 차단 시스템(FDS)’이 작동한다. 하지만 해커가 가짜 기지국으로 IMSI부터 탈취해 사용자 행세를 하면 FDS도 피해갈 수 있다. 이에 해외에서는 가짜 기지국이 ‘IMSI 캐처(수집기)’라는 별칭을 얻으며 심지어 전쟁에 악용될 우려 또한 커졌다. 가디언 등 외신에 따르면 최근 영국에서는 스파이 조직이 러시아의 우크라이나 침공을 도울 목적으로 IMSI 캐처를 이용해 미국 공군기지에서 군사기밀을 수집하려다 체포됐다. 올해 튀르키예·태국에서도 유사 사건이 있었다. 다만 이번 사건의 경우 해외처럼 이동식 기지국이 설치됐을 가능성이 앞서 제기됐지만 소액 결제 범죄에 비해 고가 장비인 탓에 비교적 저렴한 초소형 장비인 ‘펨토셀’이 쓰였을 것으로 추정되고 있다. 펨토셀은 반경 10m 내 통신을 제공하는 가정이나 소규모 사무실용으로 널리 쓰인다.</p> <p contents-hash="a007087755041eb7dc767651cb6e0fcf5400c0ec2f2de6f35f798110f35102a0" dmcf-pid="uhf8astshf" dmcf-ptype="general">이번 사건에서 기술적으로 가능한 시나리오는 두 가지가 유력하다. 우선 업계의 우려처럼 가짜 기지국이 IMSI 등이 포함된 트래픽을 탈취하고 이를 통해 통신사에 결제 인증을 받는 것이다. 박춘식 아주대 사이버보안학과 교수는 “가짜 기지국은 오가는 트래픽을 도청할 수 있고 심지어 가짜로도 보낼 수 있다”며 “이를 통해 가짜 기지국이 진짜(사용자)인 것처럼 해서 해킹을 시도할 수 있다”고 설명했다. 그는 “스마트폰과 기지국 간 암호화 여부를 당국이 조사해봐야 한다”고 했다.</p> <p contents-hash="3f49c15da575b80f0d7a89f36be5f3feaafd5eca97157bcc9fb94733dcaa168d" dmcf-pid="7l46NOFOWV" dmcf-ptype="general">두 번째는 가짜 기지국과 연결된 스마트폰들에 몰래 악성코드를 심고 이를 통해 원격제어가 가능한 ‘좀비 폰’을 만들어 결제에 악용했을 가능성이다. 김용대 한국과학기술원(KAIST) 전기전자공학부 교수는 “공격자가 펨토셀에 백도어(악성코드)를 설치해 원격 접근을 가능하게 하고 명의로 결제를 시도하고 탈취한 일회용 비밀번호 발생기(OTP)를 입력해 인증을 선점할 수 있다”며 “피해자는 OTP 문자를 수신하지만 이미 공격자가 사용한 뒤라 뒤늦게 결제 내역을 보게 된다”고 설명했다. 다만 악성코드 배포 수단으로 우선 의심됐던 문자메시지 기반 스미싱 흔적이 발견되지 않아 추가 조사가 필요한 상황이다.</p> <p contents-hash="169d07cbe480a1422f8228a8fbb54eb202b81703c49fc13e597ad1bdce5e93e2" dmcf-pid="zS8PjI3IT2" dmcf-ptype="general">서울과 경기 일부 지역에 소액 결제 피해가 몰렸다는 것과 KT의 FDS로도 차단되지 않았다는 정황 역시 개연성을 더한다. 소액 결제 대부분이 자동응답시스템(ARS)을 통해 이뤄진 것과 관련해서도 임종인 고려대 정보보호학과 석좌교수는 “해커가 중간에서 결제 인증을 하려면 (자체 보안을 갖춘) 패스(PASS)나 카카오 인증보다는 ARS나 문자가 쉬울 것”이라고 했다.</p> <p contents-hash="739f88a472b1fe91ade6026699f1ae3b394719255281c5f49cfa4218d1f59794" dmcf-pid="qCV4gm1mS9" dmcf-ptype="general">다만 추가 조사가 필요한 상황이다. 임 교수는 “가짜 기지국을 운영하려면 관련 서버 구조를 알아야 하고 암호화한 4세대(4G) 이동통신이나 5G가 아닌 2G나 3G로 낮춰서 공격하는, 소위 다운그레이드 공격이 필요하다”며 “전문 지식과 투자가 필요해 해커 입장에서도 소액 결제로 투자대비수익률(ROI)를 충족할 수 있을지 의문”이라고 했다. 그는 “2021년 라우터 관리 오류로 발생한 결제 오류 사태 때처럼 협력사 직원이 관여하는 식의 내부통제 실패 가능성도 있다”고 덧붙였다. 박 교수 역시 “모든 기록이 담긴 KT의 결제 인증 서버를 포렌식하는 게 확실한 방법”이라며 “악성코드 배포 여부를 확인하기 위해 피해자들의 스마트폰 포렌식 또한 필요하다”고 말했다.</p> <div contents-hash="22f71b297dca1dd29ff842c3d410a92708793d3aab7a2b68b6a4cac8bb6c692c" dmcf-pid="Bhf8astsyK" dmcf-ptype="general"> <p>류제명 과학기술정보통신부 2차관은 이날 “만일의 사태를 대비해 통신 3사 모두 신규 초소형 기지국의 통신망 접속을 전면 제한했다”며 “미등록 기지국이 어떻게 통신망에 접속 했는지, 어떤 방식으로 무단 소액 결제가 이뤄졌는지, 어떤 정보를 탈취했는지 면밀히 조사하겠다”고 밝혔다. 조사단은 KT가 파악한 불법 기지국에서의 이상 트래픽 정보를 다른 통신사들에 점검용으로 공유할 계획이다. 개인정보보호위원회도 이날 KT에 대한 조사에 착수했다. KT는 이번 사건으로 278건, 1억 7000만 원에 이르는 무단 소액 결제가 발생한 것으로 파악했다.</p> 김윤수 기자 sookim@sedaily.com김기혁 기자 coldmetal@sedaily.com </div> </section> </div> <p class="" data-translation="true">Copyright © 서울경제. 무단전재 및 재배포 금지.</p> 관련자료 이전 콴델라, ‘프랑스 2030 딥테크 대표단’ 자격으로 15일 방한 09-10 다음 “유령 기지국이 뚫었다”…ARS 노린 소액결제 파문, 원인·수법 궁금증 커져 09-10 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
