통신망 뚫린 KT…정부 “중대한 침해사고 규정, 통신3사 전수조사 착수”

KT 자체 파악 무단 소액결제 278건·1억7000만원 피해
정부 "통신 3사, 신규 초소형 기지국 접속 전면 제한"
원천 차단·결제 한도 '제로' 설정· 생체인증 등 조치

류제명 과학기술정보통신부 제2차관이 10일 서울청사에서 진행된 온라인 브리핑에서 발언하고 있다./e브리핑 캡쳐

KT를 통한 무단 소액결제 피해가 확산되면서 통신망 보안 취약성에 대한 우려가 커지고 있다. 정부는 이번 사태를 '중대한 침해사고'로 규정하고 KT를 포함한 통신 3사 전수 조사에 나섰다.

과학기술정보통신부는 10일 브리핑에서 사고 경위와 조사 상황을 공개하며 "KT 통화기록 분석 결과 등록되지 않은 기지국 접속 정황을 8일 오후 확인했고 같은 날 저녁 침해사고로 접수했다"고 밝혔다. SK텔레콤과 LG유플러스에도 유사 사례 점검을 요청했으나 두 회사는 "불법 기지국은 발견되지 않았다"고 보고했다.

KT는 지난 5일 새벽 이상 통화 패턴을 인지해 트래픽을 차단했지만 당시엔 스미싱 감염으로 오판해 정부에 보고하지 않았다. 이후 통화이력을 정밀 분석하는 과정에서 존재하지 않는 기지국 ID가 포착되며 사안이 침해사고로 전환됐다. KT는 "5일 이후에는 동일 유형의 접속 시도는 없다"고 밝혔다.

문제가 된 장비는 초소형 기지국 '펨토셀'로 추정된다. 구재형 KT 네트워크기술본부장은 "해당 기지국 ID는 실제 망에 존재하지 않으며 현재 모두 차단됐다"고 말했다. 다만 이 장비가 KT 코어망에 접속해 소액결제까지 유도한 경위는 아직 밝혀지지 않았다. 류제명 과기정통부 2차관은 "인증 절차와 보안 키값을 어떻게 우회했는지 면밀히 조사할 것"이라고 밝혔다.

일각에서는 유심 정보 등 내부 시스템 유출 가능성이나 통신망 인증체계 자체의 취약성을 제기하지만 정부는 "현재까지 유심 키값 유출이나 암호화 체계 무력화 정황은 확인되지 않았다"고 선을 그었다. 개인정보 유출 여부는 개인정보보호위원회가 별도 조사 중이다.

피해는 KT 고객센터 기준 177건(7782만원), 내부 분석 포함 278건(약 1억7000만원)으로 집계됐다. 피해자 중 알뜰폰 사용자도 31건 포함돼 있으며 KT는 "의심 고객에게 개별 연락해 확인 후 전액 보상하겠다"고 밝혔다. 피해 대부분은 모바일 상품권 사이트의 ARS 인증을 통한 결제로 발생했다.

정부는 이번 사태를 계기로 ARS 인증 방식의 구조적 보안 보완에 착수할 계획이다. 통신 3사와 함께 결제 한도 '제로' 설정, 생체 인증 등 2차 인증 강화 방안도 논의 중이다. 현재까지 ARS 외 방식의 피해는 확인되지 않았다.

이날 브리핑 현장에서는 "펨토셀 장비가 해외 직구로 손쉽게 구입 가능한 상황에서 등록·관리 제도가 허술한 것 아니냐"는 지적도 나왔다. 이에 류 차관은 "제도 보완 필요성에 공감한다"고 답했다. 또 "KT 기존 기지국이 해킹된 것 아니냐"는 질문에는 "KT 관리 시스템에 존재하지 않는 미등록 장비로 기존 인프라 해킹과는 다른 유형"이라고 일축했다.