KT, 악성코드 숨기고 서버 폐기일 조작…조사단 "정밀 조사 필요" (종합)

민관합동조사단, 6일 KT 무단 소액결제 사건 중간 결과 브리핑 열어

KT, 지난해 43대 서버 악성 코드 감염…일부 서버엔 개인정보 저장

펨토셀 관리 체계도 부실…과기정통부 "보안 조치 완료"

피해자 위약금 면제 적용 여부에 대해선 "법률 자문 후 판단"

6일 최우혁 과학기술정보통신부 네트워크정책실장이 정부서울청사에서 KT 무단 소액결제 사건과 관련한 민관합동조사단의 중간 조사 결과를 브리핑하고 있다.  [사진=연합뉴스]

KT 무단 소액결제 사건과 관련한 민관합동조사단의 조사 결과 KT가 지난해 자사 서버의 악성코드 감염 사실을 고의로 신고하지 않은 것으로 드러났다. 지난 8월 국가배후 조직의 KT 인증서 유출 정황과 관련해 서버 폐기 일자를 허위로 보고한 사실도 확인됐다.

6일 과학기술정보통신부는 정부서울청사에서 KT 무단 소액결제 사건과 관련한 민관합동조사단의 중간 조사 결과 브리핑을 열었다. 최우혁 과기정통부 네트워크정책실장은 브리핑을 통해 "조사단이 서버 포렌식을 하는 과정에서 BFP도어(Berkeley Packet Filter Door) 악성코드를 검출하는 백신 스크립트를 실행한 흔적을 발견했다"고 말했다. 

악성코드를 발견해 백신을 실행했지만 이를 보고하지 않았다는 얘기다. 조사 결과 KT는 지난해 3월부터 7월까지 BFP도어와 웹셸 등 악성코드에 감염된 43대를 확인하고도 정부에 신고하지 않은 것으로 드러났다.

일부 감염 서버에서는 성명, 전화번호, 이메일주소, 단말기식별번호(IMEI) 등 개인정보가 저장돼 있었던 것으로 조사됐다. 조사단은 이를 바탕으로 서버에 접속한 피해자 규모와 추가 접속 이력 등을 분석 중이다. 

최 실장은 "43대 서버 감염 사실을 최근에 인지하고 KT로부터 자료를 받아 분석하는 단계"라며 "무단 소액 결제와 연계성, 유출 규모 등은 정밀 포렌식 조사가 필요하고 현재로서 단정하기 어렵다"고 덧붙였다. 

조사단은 지난 8월 ‘프렉(Frec) 보고서’에서 제기된 국가배후 조직의 인증서 유출 정황과 관련해 서버 폐기 일자를 허위로 보고한 사실도 확인했다. 

앞서 KT는 한국인터넷진흥원(KSIA)에 8월 1일자로 해당 서버를 폐기했다고 신고했다. 조사 결과 지난 8월 1일 2대, 8월 6일 4대, 8월 13일 2대에 걸쳐 폐기한 것으로 드러났다. 

최 실장은 "서버 폐기 날짜를 속이고 로그를 은폐한 행위는 '위계에 의한 공무집행방해(형법) 혐의로 지난달 초 수사 의뢰했다"며 "형법상 처벌이 있을 것"이라고 강조했다. 

조사단은 현재 불법 펨토셀에 의한 소액결제·개인정보 유출, 국가배후 조직의 인증서 유출, KT의 외부 보안점검 과정에서 발생한 침해사고 등을 조사 중이다. 

이번 조사에서는 불법 펨토셀 20대에 접속한 2만2227명의 가입자 식별번호(IMSI), IMEI, 전화번호 등이 유출된 정황이 확인됐다. 통신 기록이 남지 않은 지난해 8월 1일 이전 피해 확인은 어려우나 기지국 접속 이력이 남지 않은 소액결제 피해도 일부 존재하는 것으로 파악됐다. 

조사단은 KT 펨토셀 관리 체계가 전반적으로 부실했다고 지적했다. KT에 납품된 모든 펨토셀이 동일한 인증서를 사용하고 유효기간도 10년으로 설정돼 인증서 복제만으로 불법 펨토셀이 KT망에 접속 가능했다. 

KT는 내부망에서 타사 또는 해외 IP 등 비정상 IP를 차단하지 않았다. 펨토셀 제품 고유번호나 설치 지역정보가 등록된 정보와 일치하는지 검증하지 않은 것으로 드러났다.
최 실장은 "음성 통화나 데이터 전체 탈취 가능성을 막기 위해 통신 3사 신규 펨토셀 접속을 전면 제한시켰다"며 "KT는 인증서 유효기간을 10년에서 1개월로 단축, 유선 IP 외 접속 차단 등 보안 조치를 완료했다"고 밝혔다. 

한편 이날 과기정통부는 KT 가입자들의 위약금 면제 조치와 관련해선 아직 결론내리지 못했다고 밝혔다. 최 실장은 "SKT 사례처럼 추가 조사를 통해 최종 피해 규모를 확정한 뒤 법률 자문을 거쳐 위약금 면제 사유에 해당하는지를 판단하겠다"고 말했다.