어떻게 뚫렸나…KT 해킹 내역 은폐 논란·서버 폐기 도마 위 작성일 09-24 59 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">펨토셀 관리 부실…"타사 보다 과도한 관리 기간"<br>서버 폐기·보고 지연…은폐·증거인멸 의혹 확산<br>피해 규모 확대·늑장 신고…"은폐냐 무능이냐" 질타</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="PyJPJAj4Y4"> <figure class="figure_frm origin_fig" contents-hash="059c184efb29ab43c1b89204899746c3b0fa768c39e743aa25be254e546f29f3" dmcf-pid="QWiQicA8Xf" dmcf-ptype="figure"> <p class="link_figure"><img alt="24일 열린 제429회 국회(정기회) 제5차 과학기술정보방송통신위원회(과방위) 청문회에서 김영섭 KT 대표가 한민수 더불어민주당 의원의 질의에 답하고 있다.국회의사중계시스템 캡처" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/24/dailian/20250924123113790qbpw.png" data-org-width="700" dmcf-mid="86u1uV2XZ6" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/24/dailian/20250924123113790qbpw.png" width="658"></p> <figcaption class="txt_caption default_figure"> 24일 열린 제429회 국회(정기회) 제5차 과학기술정보방송통신위원회(과방위) 청문회에서 김영섭 KT 대표가 한민수 더불어민주당 의원의 질의에 답하고 있다.국회의사중계시스템 캡처 </figcaption> </figure> <p contents-hash="e057a9273377049178d13fe3f38dd73c4382f8fc4020caa073e8750eb59440cf" dmcf-pid="xYnxnkc6tV" dmcf-ptype="general">24일 '대규모 해킹 및 소비자 피해’ 청문회에서 KT 펨토셀 관리 부실·서버 폐기 은폐 의혹·피해 범위 축소 논란 등이 집중 추궁됐다.</p> <p contents-hash="c45708d860ba6cfbd03df04c1ae5d64a2373e4144f4996ff6e723da7418bb0d9" dmcf-pid="yR5y57uSZ2" dmcf-ptype="general">김영섭 KT 대표는 "예기치 못한 사고를 저질러 국민들에게 걱정과 심려를 끼쳐드려 정말로 죄송하다"며 각종 의혹에 대해 재차 사과했다.</p> <p contents-hash="cac4d0803ba48f32b945d0eb180a91fcc6b5c6b84369bfa28b629fee3b0c9965" dmcf-pid="We1W1z7vt9" dmcf-ptype="general"><strong>왜 뚫렸나…KT 초소형 기지국 부실 관리 도마 위</strong></p> <p contents-hash="40b65cce79fc69611296109426314fac3af3de901bc822be801fbf5edcf6e6d2" dmcf-pid="YdtYtqzT1K" dmcf-ptype="general">이날 오전 열린 제429회 국회(정기회) 제5차 과학기술정보방송통신위원회(과방위) 청문회에서는 KT 소액결제 해킹 사태의 핵심 원인으로 ‘중고 유통·미회수’ 펨토셀(femtocell·초소형 기지국) 관리 부실이 지목됐다.</p> <p contents-hash="07ab22f4d5157335a6519d324e26478224d920594f3cb6ebe77d38f63b2ee7dc" dmcf-pid="Gi3H3bBWtb" dmcf-ptype="general">펨토셀은 건물 내부나 통신 음영 지역에서 휴대전화 신호를 보강하기 위해 설치하는 초소형 이동통신 기지국이다.</p> <p contents-hash="6864668438a24da79995b617a44e6072a95d0b5038bfafa5fc14947f175aeb38" dmcf-pid="Hn0X0KbYYB" dmcf-ptype="general">관리 사각 지대에 놓인 펨토셀이 불법으로 유통돼 해커 손에 넘어간 뒤 개조되면서, 단말 식별번호와 인증문자가 탈취돼 결제 인증이 우회됐다는 가설이 유력하다.</p> <p contents-hash="6a0cd6c975b308cf19ca6ee1728e59505f987526484303170c1b09a68b6eb2ab" dmcf-pid="XLpZp9KGHq" dmcf-ptype="general">이상휘 국민의힘 의원이 "근본 문제 원인이 펨토셀 관리 부실"이라고 지적하자 김영섭 KT 대표는 "인정한다"며 고개를 숙였다.</p> <p contents-hash="0a65ff37a71c0eb2d3f4e6508ca8d28e7d989fddc3fe9c0ec6e4540faeded774" dmcf-pid="ZoU5U29Htz" dmcf-ptype="general">펨토셀 관리 기간이 타사보다 과도하게 긴 점도 문제로 지적됐다.</p> <p contents-hash="173f1b3c9a31be04d2e51107b01ffac6551d01e106f8caf0f6b48373f6bfb4bc" dmcf-pid="5gu1uV2XG7" dmcf-ptype="general">최민희 과방위원장이 이종현 SK텔레콤 통합보안센터장(부사장)에게 관리 방식을 묻자, 그는 "일주일간 망을 사용하지 않는지 보고, 3개월간 미사용 시 삭제해 망에 붙지 않도록 처리한다"고 답했다.</p> <p contents-hash="5c03909b779e848e8c8bc62f6c948fbbd6110bc85dc3ff64023027ad700c7e80" dmcf-pid="1a7t7fVZ5u" dmcf-ptype="general">반면 김영섭 KT 대표가 "(KT 펨토셀) 유효 인증기간이 10년"이라고 밝히자, 최 위원장은 "10년간 관리를 안했다는거냐"고 꼬집었다.</p> <p contents-hash="78bd8a153bd1e5d31bda7d7568b3010069d023fb2d78d85098d77918e9bca391" dmcf-pid="tNzFz4f55U" dmcf-ptype="general">KT의 펨토셀은 약 18만9000대로, SKT(약 1만대)·LG유플러스(약 2만8000대)를 크게 웃돈다. KT는 고대역 주파수 특성상 통신 음영 해소를 위해 펨토셀을 상대적으로 많이 운영하는 것으로 알려졌다.</p> <p contents-hash="1984dd3045fbadcf4d96d406f632df53e4777ab1bf15ebaf34678557dab33b41" dmcf-pid="Fjq3q8411p" dmcf-ptype="general"><strong>해킹 정황 고의 축소·은폐했나</strong></p> <p contents-hash="bb8e5f2f35d9933beafbf18e50e373c63c3abe9fa44efd2f5ba3de2588e9ba7f" dmcf-pid="3AB0B68t50" dmcf-ptype="general">앞서 KT는 군포·구로·광화문(수어용) 고객센터의 구축형 서버를 구독형 서버로 교체하는 과정에서 구형과 신형 서버를 병행 사용하려던 계획을 바꿔 지난달 13일 구형 서버를 폐기했다. 이 시점은 한국인터넷진흥원(KISA)이 중국 배후 해킹 조직의 KT·LG유플러스 침해 의혹을 통보한 이후 이뤄진 일이어서 증거 인멸 의혹이 일었다.</p> <p contents-hash="3697e496d193dfaee53e969912334a4867d5dcc8c19ecde13ca5657e88e98634" dmcf-pid="pkKUKQP3XF" dmcf-ptype="general">황태선 KT 정보보안 실장(상무)은 김우영 더불어민주당 의원이 KISA 통보 이후 KT의 최초 보고 과정을 따져묻자 "외부 용역업체와 KT 내부 보안팀이 두 차례 KISA의 의심 정황에 대해 보고 받고 두 차례 검증을 했다. 조사 결과 침해 흔적이 확인되지 않았다. 그래서 KISA의 침해 흔적이 없다고 회신한 것으로 보고 받았다"고 설명했다.</p> <p contents-hash="25b53c4920e104894266791010d06caa5d5b7b763b01c3841bec3549c5d21390" dmcf-pid="UE9u9xQ01t" dmcf-ptype="general">그는 이어 "다만 외부 용역업체에서 인증서 유출과 관련해서는 의심 정황이 1건 있다고 했다. 제가 '8월 서비스 전환 계획'이 잡혀 있다고 해 보완 우려를 감안해 좀 당길 수 있는지 검토 요청을 한 바 있다"고 덧붙였다.</p> <p contents-hash="22f84b79415313fec665291b5665567b9ed095da1e4c5941fc188cd2d903f896" dmcf-pid="un0X0KbY11" dmcf-ptype="general">KT는 외부 보안업체에 의뢰해 전사 서버 점검을 벌이는 과정에서, 지난 15일 구형 서버 로그가 백업으로 남아 있는 사실을 나중에 확인했다. KT는 이를 18일 임원회의를 거쳐 합동조사단에 공유했고, 로그 기록이 담긴 자료를 22일 제출했다.</p> <p contents-hash="e1581d2c5393e38e08c1f3d9b66c1cc7ac964bc624eab5c19c08881aaf387fb8" dmcf-pid="zoU5U29HtZ" dmcf-ptype="general">황정아 더불어민주당 의원이 용역 회사에서 7월 9일 침해 상황을 인지해 고지했는데도 구형 서버를 왜 폐기했는지, 명백한 증거인멸을 위한 것은 아니었는지 추궁하자 김 대표는 "그런 생각은 하지 않았다"고 답했다.</p> <p contents-hash="18d840ce6672377e8209eeaa998c91d9a805d1db46e591afe5399dab6024d936" dmcf-pid="Ba7t7fVZ5H" dmcf-ptype="general"><strong>7월 해킹과 8월 소액결제 연관성은</strong></p> <p contents-hash="54a741b23a25642c1abafb9846cbb57cd829f72b36b39b06c467ca2c5fc4cbe4" dmcf-pid="bNzFz4f5XG" dmcf-ptype="general">7월 19일 프랙(Phrack) 보고서에 의한 KT 해킹 정황과 8월 소액결제 사태 연관성에 대한 의혹도 도마 위에 올랐다. 보고서는 해커가 한국 정부·통신사·공기업 등에 광범위한 장기 침입을 했고, 실제 내부 문서·시스템 계정·백도어 도구 등이 유출됐다는 내용을 담고 있다.</p> <p contents-hash="725393ff8f0c191d28945e05113999e1a8c385156341de1298662493495a30fc" dmcf-pid="Kjq3q841HY" dmcf-ptype="general">류제명 2차관은 이에 대한 신성범 국민의힘 의원의 질의에 "합동조사단에서 분석중"이라고 답하면서도 "7월 19일 프랙 보고서에 의한 해킹 정황을 우리가 확인하고 사업자들에게 통보할 당시 해당 (KT) 서버 중 1대가 8월 1일 폐기했다고 하는 서버와 연관이 있다"고 설명했다.</p> <p contents-hash="3dfe1e35d0ab4f78e0f66f7d9f47d2079530ca16626e475f6fd17edbe32fea87" dmcf-pid="9AB0B68tYW" dmcf-ptype="general">류 차관은 이어 "소액결제 사건과 7월 해킹 정황과의 상호 연관성에 대해 조사가 필요한 부분이라고 보고있다"고 덧붙였다.</p> <p contents-hash="b7b2d20568cbeba00973bb4b95c70d72f9f3c6777d4aaf49d9e5004637d59cf2" dmcf-pid="VkKUKQP3ZT" dmcf-ptype="general"><strong>KT, 피해 규모 축소·늑장 신고 논란</strong></p> <p contents-hash="51411880b1e01f388c93bc2b13e671c8bddc9f84d95ce40057804ddb2eeff760" dmcf-pid="fE9u9xQ0Yv" dmcf-ptype="general">피해 범위 공개와 관련된 KT측의 명확하지 못한 대응을 두고도 여야 의원들의 질타가 이어졌다.</p> <p contents-hash="6de18f98742a68c6c0abd5f576befaae0e3f81b32ea9c1cac7de37cb47899e41" dmcf-pid="4D272MxpXS" dmcf-ptype="general">KT 소액결제 사태를 통해 이날까지 피해 고객 수는 당초 278명에서 362명으로, 누적 피해 금액은 2억4000만원으로 늘었다. 4개의 불법 초소형 기지국 ID를 통해 (IMSI)와 국제단말기식별번호(IMEI), 휴대폰 번호가 유출된 것도 확인됐다.</p> <p contents-hash="cda0041d0d24a51ad71fa84ce5e64f5b970368fcc137fee069acae87e8aafe87" dmcf-pid="8xXvXUphHl" dmcf-ptype="general">8월 말 무단 소액결제 신고가 잇따르자 경찰은 9월 1일 KT에 이 사실을 알렸지만, KT는 8일 오후 7시에 한국인터넷진흥원(KISA)에 신고했다. 당시 KT 측은 “개인정보 해킹 정황은 없는 것으로 확인했다”고 밝혔다.</p> <p contents-hash="a17b68264e047792b9385e6f0212db89509aeaac5d5682a14cc5082b068d5f2a" dmcf-pid="6MZTZuUlXh" dmcf-ptype="general">이후 펨토셀을 통해 5561명의 가입자식별번호(IMSI)가 유출된 것이 확인되자 KT는 11일 대국민 사과를 하면서도 "IMSI 이외에 불법 팸토셀로 유출될 수 있는 정보는 없다"고 강조했으나 7일 뒤인 18일 오후 2차 브리핑에서 KT는 IMSI, IMEI, 휴대전화 번호 등이 추가 유출됐다고 입장을 번복했다.</p> <p contents-hash="e8d28127bb0aacf1d4ac47a583b5ac8999fb8b38fa36b99dd0814b5bf7ced7cc" dmcf-pid="Qe1W1z7vHI" dmcf-ptype="general">이때도 "서버 해킹 정황은 없다"고 밝혔지만 같은 날 오후 11시 57분, KISA에 서버 침해 흔적 4건과 의심 정황 2건을 신고했다.</p> <figure class="figure_frm origin_fig" contents-hash="406140e70e4bc357f2df2fdddfc9f8893cf8ca1fe26186b5d43ada77aaedcdef" dmcf-pid="xdtYtqzTXO" dmcf-ptype="figure"> <p class="link_figure"><img alt="24일 열린 제429회 국회(정기회) 제5차 과학기술정보방송통신위원회(과방위) 청문회에서 황태선 KT 정보보안 실장(상무)이 김우영 더불어민주당 의원의 질의에 답하고 있다.국회의사중계시스템 캡처" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202509/24/dailian/20250924123115126kykm.png" data-org-width="700" dmcf-mid="6vP9PniBt8" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202509/24/dailian/20250924123115126kykm.png" width="658"></p> <figcaption class="txt_caption default_figure"> 24일 열린 제429회 국회(정기회) 제5차 과학기술정보방송통신위원회(과방위) 청문회에서 황태선 KT 정보보안 실장(상무)이 김우영 더불어민주당 의원의 질의에 답하고 있다.국회의사중계시스템 캡처 </figcaption> </figure> <p contents-hash="3738e7e805f383758393f91809738521757b75fb1d47f93a2a3cf9e046f13e90" dmcf-pid="yHoRoDEQXs" dmcf-ptype="general">이를 두고 황정아 더불어민주당 의원이 "9월 4일 내부 자료에서 이상 징후를 발견했다고 나와있는데 은폐가 아닌가"라고 따져 묻자 김영섭 대표는 "침해가 아니고 스미싱 현상으로 파악하고 있었다"고 해명했다.</p> <p contents-hash="3665735e3843f3057515e4ac76466461684bfb4bf0ed6a0289a1f50292685a89" dmcf-pid="WXgegwDxtm" dmcf-ptype="general">피해 범위가 초기보다 확대된 점도 추궁됐다.</p> <p contents-hash="53fe17ab3c9c947f437d06e088614fea31b1d0fbea181ce6319407616f9c0853" dmcf-pid="YZadarwM5r" dmcf-ptype="general">황정아 의원(더불어민주당)이 KT로부터 제출받은 인증 시간 기준 피해 지역 자료에 따르면 KT가 처음 피해가 발생한 시점으로 지목한 지난달 5일부터 8일까지 나흘간 서울 동작구, 관악구, 영등포구 일대에서 15명이 26차례에 걸쳐 962만원의 피해를 봤다.</p> <p contents-hash="bfdada379e627f8e2fc3aa8f595fcfe83df21ad42f86e8b55e19bcfc9fefac98" dmcf-pid="G5NJNmrRYw" dmcf-ptype="general">이후 8일과 11일 이틀에 걸쳐 서울 서초구에서 3명을 상대로 모두 6차례에 걸쳐 227만원의 소액결제 피해를 입었다. 12일∼13일에는 경기 광명시에서, 15일은 서울 금천구, 20일은 경기 고양시 일산동구, 21일은 경기 과천시에서 무단 소액결제가 발생했다. 이어 나흘간 휴지기를 가진 뒤 26일부터 기존 피해 지역으로 알려진 금천구, 광명시, 경기 부천시 소사구, 인천 부평구 등에서 범행이 이뤄졌다.</p> <p contents-hash="7d0ffed3f2254e19ad24581923af6cd2b553eb1271395413c2d32160ef42c5fd" dmcf-pid="XtAnAOsdGE" dmcf-ptype="general">피해 범위 공개 혼선에 대해 의원들의 질타가 이어지자 김 대표는 "제가 잘못했다고 생각한다"고 답했고 황정아 의원은 "은폐가 아니면 무능"이라고 꼬집었다.</p> <p contents-hash="dc5683019d866b2177f0a1820bc7f79300e10be92fd9df8d534a757462cf96c3" dmcf-pid="ZFcLcIOJXk" dmcf-ptype="general"><strong>복제폰 가능성은</strong></p> <p contents-hash="de4d717aced74f41c5dca0d3c864b47bf6c81448fbb88ef8a19efbee653dba16" dmcf-pid="5lMfMgo95c" dmcf-ptype="general">KT에서는 불법 기지국 등을 통한 무단 소액결제로 현재까지 362명(피해액 2억4000만원)의 피해가 확인됐다. 서버 침해와 가입자식별정보(IMSI) 유출까지 드러나 피해 규모가 더 커질 가능성도 배제할 수 없다.</p> <p contents-hash="39aea597aa90e7a731a03dd1ae913afa4f4c3900ed8452b98ec131973aac8a49" dmcf-pid="1SR4Rag25A" dmcf-ptype="general">류 차관은 '복제폰' 발생 가능성을 우려하는 박정훈 국민의힘 의원의 질의에 "2만여명이 불법 기지국 ID에 노출된 것으로 보인다"면서 "(복제폰 가능성을) 면밀히 보겠다"고 답했다.</p> <p contents-hash="38de210be6e1f03e3e2496580f8c60daa190b2cf5e1502758f149e92c6d76dfa" dmcf-pid="tve8eNaVtj" dmcf-ptype="general">KT의 신고 지연에 대해서는 "고의성이 있었는지, 파악하는대로 필요하다면 경찰 수사의뢰 등 강력한 조치를 하겠다"고 밝혔다.</p> <p contents-hash="9b799d15ad5e0b19991befcb52cfa04947c9cffb201e640fecb6b1657bceb399" dmcf-pid="3yJPJAj4Ha" dmcf-ptype="general">이해민 조국혁신당 의원은 "보안 문제에 임할 때 어떤 특정 파트만 유출이 됐기 때문에 복제폰이 될 가능성이 낮다고 얘기하면 안되고 전 국민 개인정보가 다 털렸다는 가정 하에 문제가 생길 것까지" 감안해야 한다고 지적했다.</p> <p contents-hash="87e72d868023ea4637df5d9ab0eb3abd2815d5e83af2e30f95d5832f2bccf21f" dmcf-pid="pYnxnkc6Zo" dmcf-ptype="general"><strong>불법 개조 펨토셀, 해킹 관문 의심…"인증 강화 강구"</strong></p> <p contents-hash="fcf2ff558479da685adcf14d94f602245e34e78cb04c48e5de3e990b74e848aa" dmcf-pid="UGLMLEkP5L" dmcf-ptype="general">현재 경찰과 민관합동조사단이 '무단 소액결제' 사태 배경을 조사중인 가운데 전문가들은 단말·장비·운영절차의 복합적 약점이 결합해 발생했다는 것에 무게를 둔다.</p> <p contents-hash="851518b0a3af0fb4ac9ea2097164972edb64eb0fcf417a0fc8ec4b2609568769" dmcf-pid="uHoRoDEQXn" dmcf-ptype="general">구체적으로 공격자가 보안상 취약한 펨토셀 장비를 불법 유통·개조한 뒤 통신망 일부를 우회·가로채는 통로로 활용했을 것이라는 가설이다.</p> <p contents-hash="7c2089be569b2309da30722b0780775a698cf7d4a58337709ab40130dfde6083" dmcf-pid="7XgegwDxYi" dmcf-ptype="general">이런 장비가 주변 단말을 유인하면 인증문자 등 민감 데이터가 비정상 경로로 흘러들어가고, 이를 이용해 소액결제가 진행될 수 있다. 공격자는 사전에 확보한 개인정보와 IMSI를 대조해 표적을 선별하고 ARS·문자 인증을 가로채 결제를 시도했을 것으로 보인다.</p> <p contents-hash="c0881564243b29a2837983689f847283c7b1355705fbab3841ae7880bd2f4109" dmcf-pid="zZadarwM5J" dmcf-ptype="general">인증 강화 필요성을 지적하는 이준석 개혁신당 의원의 지적에 류제명 2차관은 "ARS나 문자인증만으로 결제가 가능한 방식이어서 보안인증 과정에서의 취약점이 있다"면서 "생체인증이나 결제비밀번호 이런 것들을 2단계로 하는 강화 인증 방법을 강구해 조치하겠다"고 답했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 데일리안. 무단전재 및 재배포 금지.</p> 관련자료 이전 국힘 김장겸 "IMSI 빼내는 '가짜 기지국', 국내 유통 의혹" 09-24 다음 은폐 의혹·늑장 대응···청문회서 질타 받은 KT 09-24 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
