“KT 소액결제 피해 278건… 불법 초소형 기지국으로 해킹”

통신 3사 ‘음영지역 지원 장비’가
문자 인증 내용 확인 해킹 통로로
당국, 개인정보 유출 가능성도 조사
“KT, 나흘간 방치해 피해 키워” 지적… KT “인지 못한 고객 연락, 전액 보상”

KT 무단 소액결제 피해 건수가 10일 기준 278건, 피해 금액은 1억7000여만 원으로 KT 자체 조사 결과 집계됐다. 기존 경찰에 접수된 피해 집계(총 124건, 피해 금액 8000여만 원)보다 더 큰 규모다. KT는 “아직 피해 사실을 인지하지 못한 고객에게 오늘부터 개별 연락할 계획”이라며 피해 금액은 KT가 전액 보상하겠다고 밝혔다.

10일 과학기술정보통신부는 정부서울청사에서 소액결제 피해 사고 브리핑을 열고 무단 소액결제 해킹 사고 원인이 불법 초소형 기지국(펨토셀)이라고 밝혔다. 과기정통부는 추가 피해를 막기 위해 KT를 포함한 이동통신 3사의 전국 불법 기지국 유무를 파악하고 접근을 차단하도록 조치했다. 류제명 과기정통부 2차관은 “통신 3사와 긴급 점검회의를 갖고, SK텔레콤과 LG유플러스에서는 불법 기지국이 발견되지 않았음을 확인했다”며 “만약 동일한 유형의 소액결제 피해가 발생할 경우 피해 금액을 소비자에게 청구하지 않기로 합의했다”고 했다.

● 음영지역 지원하던 ‘펨토셀’, 해킹 통로로

크게보기

이번 해킹 통로로 지목된 펨토셀은 집이나 작은 사무실 등 반경 10m 내외의 작은 공간에서 사용되는 초소형 기지국이다. 통신 인구 밀도가 높은 지역에서 트래픽을 분산해 원활한 통신을 돕거나 기지국에서 멀리 떨어진 통신 음영지역을 지원하기 위한 장비다. KT를 포함한 이통 3사 모두 펨토셀을 제작, 판매하고 있다. KT는 8일 인증되지 않은 기지국 ID가 접속한 흔적을 발견해 과기정통부 및 한국인터넷진흥원(KISA)에 침해사고 신고를 접수시켰는데, 과기정통부 등은 이것이 불법 초소형 기지국의 흔적으로 보고 있다. 구재형 KT 네트워크기술본부장은 “저희 관리 시스템에 없는 장비라 실물을 봐야 정확한 해킹 경로를 알 수 있다”고 했다.

문자나 통화 데이터는 단말기에서 기지국까지 가는 동안 모두 암호화돼서 전달된다. 하지만 기지국에 도달하는 순간 평문으로 다시 복호화된다. 특정 통신사와 동일한 주파수, 통신 프로토콜을 이용하는 작은 기지국인 펨토셀에서도 문자 인증 내용을 확인할 수 있다. 김용대 KAIST 전기및전자공학부 교수는 “만약 해커가 이 방법을 썼다면 은행이나 암호화폐 거래소처럼 여러 단계의 인증이 필요하지 않고, 문자 인증만으로 결제가 가능한 소액 결제만 노린 것도 설명이 된다”고 했다.

● 민관조사단·개보위, 개인정보 유출 가능성 조사

크게보기

과기정통부를 중심으로 꾸려진 민관합동조사단과 개인정보보호위원회는 각각 이번 해킹 사고에 개인정보 유출이 있지는 않았는지도 조사할 방침이다. 소액 결제를 하려면 단말기 고유번호와 소유주, 휴대전화 번호 등 최소한의 개인정보가 필요하기 때문이다. 김 교수는 “KT 코어망이나 서버를 직접 공격하지 않았더라도 다크웹을 통해 유출된 KT 고객의 개인정보를 사거나 다른 우회로를 통해 개인정보를 확보했을 가능성이 있다”고 했다.

개인정보위는 이날 KT의 무단 소액결제 피해와 보안 전문지 ‘프랙’을 통해 드러난 KT, LG유플러스 해킹 정황과 관련해 두 통신사에 대한 조사에 착수한다고 밝혔다. 프랙은 지난달 8일 두 통신사에서 유출된 것으로 의심되는 정보가 발견됐다는 보고서를 발표했다. 민관합동조사단 및 개인정보위는 이번 KT 무단 소액결제 사태와 프랙에서 공개한 개인정보 유출 건의 연관성도 함께 살펴볼 예정이다.

일각에서는 이번 해킹 사태와 관련해 KT의 늑장 대응이 피해를 더 키웠다는 지적도 제기된다. 경찰은 지난달 27일 첫 신고를 접수하고 이달 1일 KT 본사 및 지점, 중계소 등에 이 사실을 알렸다. 하지만 당시 KT 측은 별다른 조처를 하지 않다가 나흘이 지난 5일에야 비정상적인 소액결제 시도를 차단했다. 이에 대해 KT는 “원인 파악 등에 시간이 필요했고, 당시엔 스미싱 및 악성 앱 설치에 의한 것이라고 추정해 따로 신고하지 않았다”는 입장이다.