서울 종로구 KT광화문빌딩의 모습. 류영주 기자서버가 악성코드에 감염돼 고객 개인정보를 누출시킨 KT에 정부가 전 이용자를 대상으로 위약금 면제 조치 시행을 요구했다.
과학기술정보통신부는 29일 정부서울청사에서 서버 94대가 악성코드 103종에 감염돼 있었고 통화 정보가 유출될 위험이 있었던 KT가 이용자에 대한 위약금 면제 실시 대상에 해당한다는 내용을 담은 KT 침해 사고 최종 조사 결과를 발표했다.
KT의 해킹 상황은 앞서 발생한 SKT 사건보다 더욱 광범위했던 것으로 나타났다. 민관 합동 조사단이 KT 서버 3만3천대를 6차례에 걸쳐 점검한 결과 서버 94대가 BPF도어(BPFDoor), 루트킷, 디도스 공격형 코드 등 악성코드 103종에 감염돼 있었다. SKT의 경우 악성코드 33종에 감염됐고 공급망 보안 관리 취약으로 악성코드 1종이 서버 88대에 유입됐다.
BPF도어 등 악성코드는 2022년 4월부터 인터넷 연결 접점이 있는 서버의 파일 업로드 과정에서 서버에 침투한 것으로 나타났다. 루트킷 등 악성코드는 방화벽, 시스템 로그 등 기록이 남아있지 않아 공격자의 침투 방법 등을 판단할 수 없었다. 사고대처도 문제투성이였다. KT는 지난해 3월 감염 서버를 발견하고도 정부에 알리지 않고 서버 41대에 대해 코드 삭제 등 자체 조치로 무마하려 했다.
서버 감염과는 별개로 불법 초소형 기지국(펨토셀)이 통신망에 무단 접속해 국제이동가입자식별정보(IMSI), 국제단말기식별번호(IMEI), 전화번호 탈취 피해를 본 이용자는 2만2227명, 무단 소액결제 피해자는 368명, 피해액 2억4300만원인 것으로 최종 집계됐다. 중간 조사 결과와 변동이 없었다. 통신 결제 관련 데이터가 남아있지 않은 지난해 7월31일 이전 피해 규모는 확인이 불가능해 전체적인 피해규모를 확정하기는 쉽지 않아 보인다.
경찰이 무단 소액결제범들로부터 확보한 불법 펨토셀을 조사단이 포렌식 분석한 결과 이들 기기에 KT 망 접속에 필요한 KT 인증서 및 인증 서버 IP 정보와 해당 기지국을 거쳐 가는 트래픽을 가로채 제삼의 장소로 전송하는 기능이 탑재돼 있었다. 단말기에서 코어망에 이르는 통신 과정 암호화가 풀리면서 ARS, SMS 등 결제 인증 정보가 탈취됐을 뿐 아니라 이용자의 문자, 통화 내용이 유출되는 일도 가능했던 것으로 확인됐다.
조사단은 불법 펨토셀이 KT 내부망에 언제 자유자재로 접속할 수 있었다며 인증 서버 IP의 주기적 변경 및 대외비 관리 등 보안 관리 개선책을 요구했다.
과기정통부는 KT 보안 조치의 총체적인 미흡이 위약금 면제 사유에 해당한다고 판단했다. 약관에는 "회사의 귀책 사유로 이용자가 서비스를 해지할 경우 위약금을 면제할 수 있다"는 규정이 명기돼 있다. 평문의 문자, 음성 통화가 제삼자에게 새어나갈 위험성은 소액결제 피해를 본 일부 이용자에 국한된 것이 전체 이용자에 해당한다고 해석했다.
조사단 역시 관계기관 5곳의 법률 자문을 진행한 결과 4곳에서 이번 침해 사고로 KT가 안전한 통신 서비스 제공이라는 계약의 주요 의무를 위반해 위약금 면제 규정 적용이 가능하다는 판단을 전달받은 것으로 알려졌다.
SKT는 사고 최종 조사 결과가 발표된 지난 7월 4일을 기준으로 열흘간 침해 사고 이후 해지한 고객을 포함해 위약금 면제를 적용한 바 있는데 KT도 이같은 전례를 준용할 것으로 알려졌다.
조사단은 KT에 강력한 보안 설루션 도입을 요청했다. 서버 등 네트워크가 연결되는 장치에서 발생하는 모든 활동을 감지 분석하는 도구(EDR), 백신 등 보안 설루션 도입이 필요하다는 판단이다. 분기에 1회 이상 모든 자산에 대해 보안 취약점을 정기 점검하고 운영 시스템 로그 기록을 최소 1년 이상 보관하며 중앙 로그 관리 시스템을 구축해 사이버 침해 여부를 감시하라고 촉구했다. 정보기술최고책임자(CIO) 지정과 정보기술 자산관리 설루션 도입도 거듭 요구했다.
한편, 민관 합동 조사단은 LGU+의 해킹 의혹에 대해 익명의 화이트해커로부터 정보 유출이 지목된 통합 서버 접근제어 설루션(APPM)이 해킹당했으며 서버 목록, 서버 계정정보 및 임직원 성명 등 관련 정보가 실제 유출된 것을 확인했다. 이 과정에서 LGU+가 서버 운영체계(OS)를 재설치 또는 폐기하며 당국의 조사를 방해했다며 위계에 의한 공무집행 방해로 경찰청에 수사를 의뢰했다.