KT 해킹 서버 로그 삭제 지시한 건 'CPO'···일부 직원 불응해 일부만 삭제 작성일 10-08 50 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">개인정보위 부위원장 “CPO가 로그 삭제 지시한 건 처음 봐” <br>KISA “로그 삭제로 실제 개인정보 유출 규모 파악 기회 상실 가능성”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="zTLz2bIkiZ"> <figure class="figure_frm origin_fig" contents-hash="05fca7d8c327d49b7a115637c5877985fcfa06675b54191e91ded86b0470a64c" data-idxno="240620" data-type="photo" dmcf-pid="qyoqVKCEeX" dmcf-ptype="figure"> <p class="link_figure"><img alt="서울 종로구 KT 광화문웨스트사옥 / 사진 = 연합뉴스." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/08/552777-a6ToU27/20261008095351496mcpo.jpg" data-org-width="600" dmcf-mid="79n79BOcJ5" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/08/552777-a6ToU27/20261008095351496mcpo.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 서울 종로구 KT 광화문웨스트사옥 / 사진 = 연합뉴스. </figcaption> </figure> <p contents-hash="7fe8d5f47669c8e46238f0fbe7c28f92b1acd1a7f1ede6e697fcfedf11f8fb89" dmcf-pid="BWgBf9hDiH" dmcf-ptype="general">[시사저널e=김용수 기자] KT가 2024년 악성코드 감염 사고를 사후 점검하는 과정에서 당시 개인정보보호책임자(CPO)가 감염 서버 38대의 로그를 모두 삭제하라고 지시했던 것으로 확인됐다. 다만 일부 직원이 해당 지시를 따르지 않으면서 실제 로그가 삭제된 서버는 10대에 그쳤다. 한국인터넷진흥원(KISA)은 로그 삭제로 인해 실제 개인정보 유출 규모를 정확히 확인할 기회를 잃었을 가능성을 제기했다.</p> <p contents-hash="ba1f1732ff7fd9c2cc05f08b3378d954f903c27c5f5cfdfae2dd404529211735" dmcf-pid="bYab42lwLG" dmcf-ptype="general">8일 개인정보보호위원회(개인정보위)가 최근 공개한 지난 7월 29일 제15회 전체회의 속기록에 따르면 당시 회의에서는 KT의 2024년 악성코드 감염 사고 대응과 로그 삭제 경위가 구체적으로 논의됐다.</p> <p contents-hash="18a1490151acc00a62ff565c42128f0dc08cd5883e5ab4cbeeedc1e0845c0e82" dmcf-pid="Kpsxie5TMY" dmcf-ptype="general">이정렬 개인정보위 부위원장은 KT의 사고 대응 과정을 언급하며 "로그 폐기 지시는 CPO가 했다"며 "38개를 삭제하라고 했는데 일부 직원은 따르고 일부 직원은 따르지 않아서 10개만 삭제가 됐다"고 밝혔다. 이어 "개인정보 보호의 컨트롤타워인 CPO가 로그 삭제를 지시한 것은 처음 봤다"고 지적했다.</p> <p contents-hash="a805e07a6ab6585e3484aaa10117802901dc1b3e22c6647f84c9a6fd853f17e4" dmcf-pid="9UOMnd1ynW" dmcf-ptype="general">개인정보위는 앞서 조사 결과를 발표하면서 KT가 2025년 4월 전수점검 과정에서 감염 서버 10대의 로그를 삭제하는 등 조직적으로 침해 사실을 은폐한 정황이 확인됐다고 밝혔다. 다만 당시에는 로그 삭제 지시 주체가 CPO였다는 사실과 삭제 지시 대상이 감염 서버 38대 전체였다는 내용은 공개하지 않았다.</p> <p contents-hash="63d9be033357190c5f850a74986c2784d60b1c704148d1e0d9555b3fb9c17f74" dmcf-pid="2uIRLJtWMy" dmcf-ptype="general">문제가 된 악성코드 사고는 2024년 3월 발생했다. 해커는 KT 로밍렌탈서비스 홈페이지의 취약점을 이용해 내부 네트워크에 침투한 뒤 악성코드를 설치해 다수 서버를 감염시켰다. 이와 별도로 관리자 페이지에 SQL 삽입 공격을 가해 KT 임직원과 협력사 일부 직원의 이름과 전화번호, 계정정보를 조회·유출한 정황도 확인됐다. 개인정보위 조사 결과 악성코드가 감염된 서버는 총 38대로 파악됐다.</p> <p contents-hash="7ee41dfab011cc07b9ffed80b36a5422b0e5d97cece897aec334a56c44bb7391" dmcf-pid="V7CeoiFYiT" dmcf-ptype="general">KT는 2024년 3월 서버의 악성코드 감염 사실을 처음 인지했지만 당국에 신고하지 않고 같은해 7월까지 자체 조치를 진행했다. 이후 작년 4월 SK텔레콤의 개인정보 유출 사고를 계기로 서버를 전수점검하는 과정에서 감염 서버 10대의 로그가 삭제됐다. 조사 초기에는 감염 서버에 대한 보존 자료가 없다고 설명했지만, 개인정보위가 디지털포렌식을 통해 조사 착수 전 로그가 삭제된 정황을 확인하자 별도로 보관하고 있던 로그를 뒤늦게 제출하며 진술을 번복했다.</p> <p contents-hash="e87c00f2f7949e5b414faffccc4b4b17dd95901ea28a6be84c3dfea611e31277" dmcf-pid="fzhdgn3Giv" dmcf-ptype="general">KT 측은 전체회의에서 해당 조치를 '클렌징'이라고 설명했다. KT 대리인은 당시 CPO의 클렌징 지시를 실무진이 로그 삭제와 운영체제(OS) 재설치, 시스템 전환 등을 포함한 조치로 받아들인 것으로 이해하고 있다고 설명했다. 또 외부 보안점검에 앞서 이미 조치가 끝난 과거 사고 서버를 정리하는 과정에서 이뤄진 것으로 조사 방해나 사고 은폐 목적은 없었다는 입장을 냈다.</p> <p contents-hash="6b68c45359a6b2b4e0871b5afa459f1d5740963ea08f2c70f4828cf8dbc33620" dmcf-pid="4qlJaL0HRS" dmcf-ptype="general">그러나 개인정보위는 조사 과정에서 KT의 대응을 문제 삼았다. 이 부위원장은 KT가 2024년 7월 작성한 탐지·대응 분석자료를 언급하며 개인정보시스템 13개 가운데 10개에서 상당 기간 분석이 이뤄지지 않았다고 지적했다. 악성코드가 존재했던 2024년 3~7월에 작성된 자체 분석보고서 역시 형식적이었다고 평가했다.</p> <p contents-hash="72aeed3f549d8ef8bd004dd1a03dde0d9c1c0d0c5f53ad0f530d34b9bb4080d2" dmcf-pid="8BSiNopXel" dmcf-ptype="general">로그 삭제가 실제 개인정보 유출 규모 확인에 영향을 미쳤을 가능성도 제기됐다.</p> <p contents-hash="2f698989b8add8c28292ee1d725bdaade93a65994b21cd6b0676bde615134ff7" dmcf-pid="6bvnjgUZRh" dmcf-ptype="general">KISA 관계자는 전체회의에서 "악성코드에 감염된 서버가 38대인데 실제로 유출이 증빙된 것은 임직원 정보 23명밖에 안 된다"며 "여러 가지 로그가 삭제되는 바람에 실제로 정확히 정보주체의 피해규모를 파악하는 기회를 상실한 것이 아닌가 생각한다"고 말했다.</p> <p contents-hash="b2b40aac51628dc4781f0055a6401d7a00cbef9b07e8e523110f90c3caeea08b" dmcf-pid="PKTLAau5nC" dmcf-ptype="general">현재까지 유출 정황이 확인된 정보는 KT 임직원·협력사 직원 23명의 이름과 전화번호, 계정정보다. 다만 개인정보위도 사고 당시 네트워크 로그가 남아 있지 않아 감염된 38대 서버에서 처리된 이용자 개인정보의 추가 유출 여부를 확인하지 못했다고 밝혔다. 따라서 확인된 23명이 전체 유출 규모를 의미하는지는 규명되지 않은 상태다.</p> <p contents-hash="694c7268ff99aae91f1afe61d1799314c84b38c3d5af878ba100908552d89f45" dmcf-pid="Q9yocN71iI" dmcf-ptype="general">개인정보위는 KT가 사고 당시 개인정보 유출 분석을 소홀히 하고 정부에 신고하지 않은 데 이어 감염 서버 일부의 로그를 삭제한 것으로 판단했다. 또 조사 과정에서 보존 자료가 없다고 거짓 진술한 뒤 로그 삭제 정황이 확인되자, 별도로 보관하던 자료를 뒤늦게 제출하는 등 조사를 방해했다고 보고 KT 법인을 수사기관에 고발했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 시사저널e 무단전재 및 재배포 금지</p> 관련자료 이전 SK하이닉스 반도체도 우주로…국산 기술 검증할 위성 교신 성공 10-08 다음 데이터창고 넘어 ‘AI토큰 공장’으로 "한국에 기회 왔다” 10-08 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
