KT 펨토셀 해킹, ‘보안 구멍’ 드러났다…불법 장비로 소액결제 정보 유출

민관조사단 “KT 인증서 복제 가능·비정상 IP 차단 미비”…
정부, 허위보고·지연신고 정황 수사 의뢰

 

서울 종로구 KT 본사의 모습. [사진=뉴시스]

스페셜경제=박숙자 기자 | KT의 펨토셀(소형 기지국) 보안 관리가 허술했던 것으로 드러났다. 해커는 이를 악용해 단말기와 통신망 사이의 암호화 체계를 무력화시키고, 소액결제 인증 정보를 탈취한 것으로 확인됐다.

과학기술정보통신부는 6일 KT 침해사고에 대한 민관합동조사단의 중간조사 결과를 발표했다. 조사단에 따르면 KT는 모든 펨토셀에 동일한 인증서를 사용해, 인증서를 복제하면 불법 펨토셀도 KT 내부망에 접속할 수 있는 구조였다. 심지어 해당 인증서의 유효기간은 10년으로 설정돼, 한 번 접속한 불법 펨토셀은 장기간 KT망에 머무를 수 있었다.

조사단은 펨토셀 제조사가 인증서·셀ID·KT 서버 IP 등 중요 정보를 외주업체에 제공하면서 보안관리 체계가 전무했다고 지적했다. 외주업체는 이 정보를 저장장치에서 손쉽게 확인하거나 추출할 수 있었던 것으로 조사됐다.

KT는 또한 비정상 IP(타사·해외 IP) 차단 기능이 없었고, 펨토셀의 고유번호나 설치 지역 정보가 실제 등록된 장비인지 확인하는 검증 절차도 부재했다. 그 결과 불법 펨토셀이 정상 기지국으로 인식돼 ARS·문자 인증 등 결제 정보를 평문으로 취득할 수 있었다.

조사단은 KT 통신망 테스트베드 실험 결과, 해커가 불법 펨토셀을 장악할 경우 종단 암호화 해제가 가능하며, 암호화가 풀린 상태에서 데이터가 평문으로 전송되는 것을 확인했다고 밝혔다.

보안전문가들은 “펨토셀의 하드웨어·소프트웨어를 변조해 통신 내용을 가로채는 기능을 구현하는 것은 기술적으로 어렵지 않다”고 평가했다. 실제 KT망에선 불법 펨토셀을 통한 ARS·문자 인증정보 탈취와 함께 일부 기지국 접속 이력이 남지 않은 피해도 발생했다.

정부는 KT가 사고를 인지한 시점과 신고 시점 사이에 지연 및 은폐 정황이 있었다고 판단했다. KT는 지난 9월 1일 경찰로부터 무단 소액결제 정보를 전달받고 5일 새벽에 차단 조치를 했으나, 실제 침해사고 신고는 9월 8일 오후 7시 16분에야 이뤄졌다.

또 KT는 외부 점검을 통해 9월 15일 내부 서버 침해 흔적을 발견하고도 9월 18일 자정 무렵에야 당국에 신고했다. 아울러, KT는 인증서 유출 관련 서버 폐기 일정을 허위로 제출한 정황이 드러나 정부 조사를 방해한 고의성이 있다고 판단돼, 수사기관에 공무집행방해 혐의로 수사 의뢰됐다.

KT는 지난해 8월 1일부터 올해 9월 10일까지의 기지국 접속 이력 4조 건, 결제 1억5000만건을 분석한 결과, 불법 펨토셀 20대와 접속자 2만2227명을 확인했다. 이 중 무단 소액결제 피해자는 368명, 피해액은 2억4319만원으로 집계됐다.

정부는 현재 압수된 불법 펨토셀을 분석 중이며, 해커가 음성통화·문자까지 탈취했는지 여부를 추가 실험으로 규명할 예정이다.

최우혁 과기정통부 네트워크정책실장은 “KT의 피해자 분석 방식과 누락 피해 여부를 검증한 뒤 최종 피해 규모를 확정할 것”이라며 “KT의 보안 부실과 신고 지연 행위를 토대로 이용약관상 위약금 면제 등 법적 검토를 진행할 계획”이라고 밝혔다.

 

 

 

 

KT 펨토셀 해킹, ‘보안 구멍’ 드러났다…불법 장비로 소액결제 정보 유출 - 스페셜경제