유실 장비 인증서 복제한 신종 공격…KT “사전 예측 어려웠다”
IPTV·유선인터넷 매출 제외…피해 회복·재발방지 노력도 반영
펨토셀 인증·접근통제 강화하고 3개월 내 개선대책 보고

개인정보보호위원회가 불법 초소형 기지국인 ‘펨토셀’을 이용한 개인정보 유출과 무단 소액결제 사고와 관련해 KT에 약 540억원의 과징금을 부과했다. 자체 제작 장비를 활용한 새로운 유형의 공격이었지만, 펨토셀의 내부망 접속 관리와 이상 징후 탐지 체계가 충분하지 않았다는 판단이다.

개인정보위는 지난 29일 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령 등을 의결했다고 30일 밝혔다.

펨토셀은 가정이나 사무실, 지하 등 이동통신 신호가 약한 곳에 설치해 통신 품질을 높이는 소형 기지국이다. 이용자 단말기와 통신사 핵심망을 연결하는 장비인 만큼, 인가된 장비만 내부망에 접속할 수 있도록 인증과 접근 통제가 필요하다.

조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 추출한 뒤 이를 자체 제작한 불법 펨토셀에 심어 KT 이동통신망에 접속했다. 이후 이용자 단말기가 불법 펨토셀을 거치도록 유도해 단말기와 내부망 사이에서 오가는 통신 정보를 가로챘다.

해커는 확보한 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)에 이름과 생년월일 등 별도로 취득한 정보를 결합해 소액결제를 시도했다. 결제 과정에서 전송되는 문자메시지(SMS)와 자동응답시스템(ARS) 인증도 탈취한 것으로 조사됐다.

이 과정에서 KT와 KT망 알뜰폰 이용자 1만6647명의 개인정보가 유출됐고, 368명이 총 2억4000만원 규모의 무단 소액결제 피해를 봤다. 유출 인원은 당초 신고된 2만2227건 가운데 법인 명의와 다중 회선 등 중복을 제외한 실제 정보주체 수다.

개인정보위는 KT가 펨토셀 인증서의 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않아 타사망이나 해외 IP에서도 내부망 접속이 가능하도록 운영한 점을 문제로 봤다. 펨토셀 관리서버를 우회하는 경로가 존재했고, 장비 식별값인 셀 아이디 관리와 비인가 접속 탐지 체계도 미흡했다고 판단했다.

이에 따라 해커는 2024년 10월부터 지난해 9월까지 약 11개월간 KT 내부망에 접속했다. KT는 자체 제작 펨토셀을 이용한 전례 없는 공격으로 사전 예측이 어려웠다는 입장을 밝혔으나, 개인정보위는 기존에 제기된 펨토셀 보안 취약성을 고려하면 추가적인 안전조치가 필요했다고 봤다.

과징금은 사고와 직접 관련된 KT의 5G·LTE 이동통신서비스 매출을 기준으로 산정됐다. IPTV와 유선인터넷 등 사고와 무관한 사업 매출은 제외됐다. 개인정보위는 위반행위의 중대성과 기간뿐 아니라 사고 이후의 시정 조치, 피해 회복 노력과 재발방지 대책 등을 종합적으로 고려해 최종 금액을 결정했다고 설명했다.

개인정보위는 KT에 펨토셀을 포함한 무선통신망 장비의 취약점을 점검하고 비인가 장비의 내부망 접근을 차단할 수 있는 대책을 3개월 안에 마련해 보고하도록 명령했다. 개인정보보호책임자(CPO)의 역할과 책임을 강화하고, 개인정보보호 관리체계 인증(ISMS-P) 범위를 이동통신 네트워크 시스템까지 확대하는 방안도 권고했다.

별도로 개인정보위는 펨토셀 사고 조사 과정에서 KT의 과거 악성코드 감염 사고도 확인했다. KT는 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통해 서버 38대가 ‘BPFDoor’ 등 악성코드에 감염된 사실을 인지하고도 정부에 신고하지 않은 것으로 조사됐다.

일부 임직원과 협력사 직원의 이름, 전화번호, 계정 등이 조회·유출된 정황도 파악됐다. 다만 당시 네트워크 로그가 남아 있지 않아 감염 서버에서 처리한 이용자 개인정보의 추가 유출 여부는 확인되지 않았다.

한편, 개인정보위는 KT가 이후 전수 점검 과정에서 침해 서버 일부의 로그를 삭제하고 조사 초기 보존 자료가 없다고 진술했다가 뒤늦게 관련 로그를 제출한 점을 조사 방해로 판단해 수사기관에 고발하기로 했다.

[CEO스코어데일리 / 김동일 기자 / same91@ceoscore.co.kr]