“복제폰 불가” 외친 KT…서버 침해 정황까지 드러나 난처 작성일 09-19 51 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="9w7vYag2yW"> <figure class="figure_frm origin_fig" contents-hash="943b76530a0b63639f190c1499275688d32411626bd204209f9dc654c0c48d91" dmcf-pid="2g5rIRMUSy" dmcf-ptype="figure"> <p class="link_figure"><img alt="19일 서울 종로구 정부서울청사에서 열린 해킹 대응을 위한 과기정통부-금융위 합동 브리핑을 마친 류제명 과기정통부 제2차관과 권대영 금융위 부위원장(왼쪽 네번째)이 대화하고 있다. 맨 왼쪽은 롯데카드, 맨 오른쪽은 KT 관계자. [연합뉴스]" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/19/dt/20250919213316584qivl.png" data-org-width="500" dmcf-mid="KXwMJUphWY" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/19/dt/20250919213316584qivl.png" width="658"></p> <figcaption class="txt_caption default_figure"> 19일 서울 종로구 정부서울청사에서 열린 해킹 대응을 위한 과기정통부-금융위 합동 브리핑을 마친 류제명 과기정통부 제2차관과 권대영 금융위 부위원장(왼쪽 네번째)이 대화하고 있다. 맨 왼쪽은 롯데카드, 맨 오른쪽은 KT 관계자. [연합뉴스] </figcaption> </figure> <p contents-hash="7f93ebf64188311a22be16c1605fb3a605d849e9de1000fb7e5a5e9440617ae6" dmcf-pid="Va1mCeRuST" dmcf-ptype="general"><br> 무단 소액결제 사태를 겪고 있는 KT]에서 자사 서버 침해 정황까지 드러나며, 사건의 파장이 더욱 확산하는 모습이다.<br><br> 가입자식별정보(IMSI)와 국제단말기식별번호(IMEI)뿐만 아니라 우려하던 서버 침해까지 현실화하면서 KT가 가능성을 부인해왔던 이른바 ‘복제폰’ 가능성조차 배제할 수 없는 상황이 된 것이다.<br><br> KT는 19일 자사 서버에서 침해 흔적 4건과 의심 정환 2건을 확인해 전날 자정 무렵 한국인터넷진흥원(KISA)에 신고했다고 밝혔다.<br><br> 지난 4월 SK텔레콤 해킹 사태 이후 보안업체 용역을 통해 자사 서버를 점검했고, 지난 15일 이같은 결과를 받아 내부 검토를 거쳐 신고에 나섰다는 것이다. 이로써 지난 4일 처음 불거진 해당 사건은 갈수록 피해 범위가 확대되고 있다.<br><br> KT는 사건 초기인 9일 무단 소액결제 관련 사실은 KISA에 신고했지만, 개인정보 해킹 정황은 없다고 강조했다.<br><br> 이후 11일 첫 브리핑에서 자체 조사 결과 불법 초소형 기지국(펨토셀) 2개를 통해 1만9천여명의 이용자가 신호를 수신했고 이 중 5561명의 IMSI가 유출된 정황을 확인했다고 입장을 바꿨다.<br><br> 당시 밝힌 무단 소액결제 피해자는 278명, 피해액은 약 1억7000만원이었다. 또 유심 정보가 저장되는 홈가입자서버(HSS) 침해나 불법 기기 변경·복제폰 정황은 전혀 없다고 했다.<br><br> 하지만, 전날 2차 브리핑에선 발견된 불법 펨토셀이 4개로 늘어나면서 총 2만30명이 신호를 수신했다고 전했다. IMSI만 유출됐다고 밝힌 1차 브리핑과 달리 이 기지국을 통해 IMSI뿐 아니라 IMEI와 휴대폰 번호도 유출됐다고 확인했다.<br><br> KT는 조사 방식·범위가 확장되면서 피해 규모가 커진 것이라는 입장이다. 1차 조사에서는 민원 제기 피해자의 통화기록을 토대로 불법 기지국 ID를 추출해 전체 가입자 기록과 대조했지만, 이후에는 6월 이후 발생한 소액결제 2267만 건을 전수 조사해 비정상 패턴을 분석한 결과 펨토셀 2대가 추가로 확인됐다는 것이다.<br><br> 한편 소액결제가 이뤄지려면 이름·주민등록번호 등 추가 개인정보와 ARS 인증 우회 과정이 필요해 사건 초기부터 ‘복제폰’ 의혹은 끊이지 않았다.<br><br> 그러나 KT는 줄곧 “복제폰 생성은 불가능하다”는 입장을 고수해왔다. 복제폰을 만들기 위해서는 IMSI, IMEI, 인증키값이 필수적인데 인증키가 보관되어있는 서버는 침해 흔적이 없어 불가능하다는 취지였다.<br><br> 손종엽 KT 디바이스사업본부장은 전날 2차 브리핑까진 “복제폰이 생성되기 위해서는 IMSI, IMEI와 함께 인증키값이 필요하다”며 “IMSI와 IMEI를 알아도 인증키를 모르면 복제폰은 불가능하다”고 말했다.<br><br> 하지만 KT가 전날 자사 서버 침해 흔적을 KISA에 신고하면서 단정은 어려워졌다는 지적이 나온다.<br><br> KT가 제출한 신고서 ‘사고내용’란에는 ▲ 윈도우 서버 침투 후 측면 이동 시도 ▲ Smominru 봇내 감염 ▲ VBScript 기반 원격코드 실행 및 민감정보 탈취 ▲ Metasploit을 통한 SMB 인증 시도 및 측면 이동 성공을 적시했다. 또 의심 정황으로 ▲ 리눅스 sync 계정 조작 및 SSH 퍼블릭키 생성 ▲ Rsupport 서버 의심 계정 생성 및 비밀키 유출 등 2건을 보고했다.<br><br> 다만, KT는 어떤 정보가 실제 유출됐는지는 아직 확인되지 않았다고 밝혔다. 구재형 KT 네트워크기술본부장은 “전날 밤 신고해 합동조사단의 결과가 나와야 알 수 있다”고 말했다.<br><br> 한 보안업계 관계자는 “KT가 제출한 신고서는 ‘어떤 악성파일과 해킹 정황을 발견했다’는 내용을 써놓은 정도”라며 “침해 흔적을 발견했을 뿐, 어떤 정보가 유출됐는지는 현 단계로 예단할 수 없다”고 말했다.<br><br> 다른 업계 관계자도 “공격자가 윈도우 서버 안으로 침투한 후에 같은 네트워크 내에 있는 다른 서버까지 장악한 정황이 있다”며 “어떤 서버에서 발생한 내용인지 공개돼 있지 않으나 인증과 관련된 장비 또는 민감정보 보유 서버 연관성에 따라 피해 범위가 달라질 것으로 보인다”고 말했다.<br><br> 류제명 과기정통부 2차관은 이날 복제폰 가능성도 염두에 두고 있냐는 질문에 “조사내용에 대해 구체적으로 확인해드리기 어려운 점을 양해해달라”고 말했다.<br><br> 김나인 기자 silkni@dt.co.kr</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털타임스. 무단전재 및 재배포 금지.</p> 관련자료 이전 성한빈 절친·'김재중 소속사' 연습생, 데뷔 문턱서 좌절…생존자 16인 공개 ('보플2')[종합] 09-19 다음 “큰 JK·작은 JK” 마선호, 김종국·정국 훈련 사진 전격 공개 09-19 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
