KT 문자·통화 도청 위험…"위약금 면제 책임"(종합)

(서울=뉴스1) 이기범 기자 = 초소형 기지국(펨토셀) 관리 부실로 KT(030200) 모든 가입자의 문자, 음성 통화 탈취가 가능했던 것으로 나타났다. 정부는 KT가 안전한 통신 서비스 제공을 위한 사업자 주의 의무를 위반했다고 보고 전체 고객 대상 위약금 면제 책임이 있다고 판단했다.

과학기술정보통신부는 29일 오후 서울 종로구 정부서울청사에서 KT 침해 사고 민관합동조사단 조사 결과 및 위약금 면제 규정 검토 결과를 발표했다.

조사 결과 불법 펨토셀이 언제 어디서든 KT 내부망에 접속할 수 있었던 것으로 나타났다. 또 통신 트래픽 캡처가 가능한 불법 펨토셀과 연결된 이용자 단말기에서 송·수신 되는 문자, 음성통화의 정보 탈취가 가능했다.

통신 과정에서 휴대전화와 KT 내부망 간 송·수신되는 정보가 암호화돼야 하는데 불법 펨토셀을 통해 종단 암호화 해제가 가능했다는 의미다.

류제명 과기정통부 제2차관은 "KT 전체 이용자가 위험성에 노출되었던 것으로 판단했다"고 말했다.

실제 경찰이 확보한 불법 펨토셀에서는 문자나 통화 도·감청 기능이 있는 것으로 파악됐다. 단, 실제 탈취 흔적은 발견되지 않았다.

과기정통부는 이 같은 조사 결과를 토대로 법률 자문을 진행해 KT에 귀책 사유가 있다고 보고 전체 고객을 대상으로 위약금을 면제해야 한다는 의견을 냈다.

이날 소액결제 피해 규모는 총 368명(777건), 2억 4319만 원으로 확정됐다. 펨토셀 접속해 개인정보 유출 정황이 확인된 가입자는 2만 2227명이다. 지난 10월 17일 KT가 발표한 피해 규모 그대로다.

지난달 6일 중간 조사 결과 발표를 통해 확인된 악성코드 감염 서버는 총 94대로, BPF도어, 루트킷 등 악성코드 103종이 감염된 것으로 나타났다. KT가 지난해 3~7월 감염 서버를 발견했음에도 정부에 신고 없이 조치한 서버는 총 41대로 파악됐다.

다만 악성코드 감염 서버를 통한 개인정보 유출 여부는 확인되지 않았다.

무단 소액결제에 필요한 개인정보(성명, 생년월일, 휴대전화 번호)를 어떻게 확보했는지는 밝혀지지 않았다.

이날 경기남부경찰청에 따르면 피의자들은 경기지역 군부대에서 유실됐던 KT 펨토셀 인증서를 불법적으로 입수해 지난해 5월부터 미리 범행을 시도했던 것으로 드러났다.

현재까지 검거된 인원은 총 13명으로, 경찰은 상선을 포함한 2명을 추적 중이다. 이들은 한국계 중국인 상선 A 씨(40대·남) 지시에 따라 △장비운용 △자금세탁 △대포유심제공 등으로 역할을 나눠 범행에 가담한 것으로 조사됐다.

KT는 "민관합동 조사단의 결과를 엄중하게 받아들인다"며 "고객 보상과 정보보안 혁신 방안이 확정되는 대로 조속히 발표할 예정"이라고 입장을 냈다. 이르면 30일 오후 보상안을 확정해 발표할 예정이다.

Ktiger@news1.kr