- 악성코드 103종 감염… SKT보다 심각

정부가 해킹 방지를 소홀히 해 이용자에게 안전한 통신 서비스를 제공할 의무를 다하지 못한 책임을 물어 KT에 전 이용자를 대상으로 위약금 면제 조치를 할 것을 요구했다.

서울 시내 한 KT 매장의 모습. 연합뉴스

과학기술정보통신부는 29일 정부서울청사에서 서버 94대가 악성코드 103종에 감염돼 있었고 통화 정보가 유출될 위험이 있었던 KT가 이용자에 대한 위약금 면제 실시 대상에 해당한다는 내용을 골자로 한 KT 침해 사고 최종 조사 결과를 발표했다.

민관 합동 조사단이 KT 서버 3만3000대를 6차례에 걸쳐 점검한 결과 서버 94대가 BPF도어(BPFDoor), 루트킷 등 악성코드 103종에 감염돼 있었다. 역대급 통신사 해킹 사건으로 지목된 SKT는 악성코드 33종에 감염됐고 공급망 보안 관리 취약으로 악성코드 1종이 서버 88대에 유입된 바 있는데 KT의 감염이 더 광범위한 것이다. KT는 지난해 3월 감염 서버를 발견하고도 정부에 알리지 않고 서버 41대에 대해 코드 삭제 등 자체 조치로 무마해 피해 파악이 늦어졌다.

BPF도어 등 악성코드는 2022년 4월부터 인터넷 연결 접점이 있는 서버의 파일 업로드 과정의 취약점을 통해 서버에 침투한 것으로 파악됐다. 루트킷 등 악성코드는 방화벽, 시스템 로그 등 기록이 남지 않아 공격자의 침투 방법 등을 판단할 수 없었다. 서버 감염과 별도로 불법 초소형 기지국(펨토셀)이 통신망에 무단 접속해 국제이동가입자식별정보(IMSI), 국제단말기식별번호(IMEI), 전화번호 탈취 피해를 본 이용자는 2만2227명, 무단 소액결제 피해자는 368명, 피해액 2억4300만 원으로 중간 조사 결과와 변동이 없었다. 다만 통신 결제 관련 데이터가 남지 않은 기간인 지난해 7월 31일 이전의 피해 규모는 확인이 불가능해 추가 피해 여지는 미궁으로 남게 됐다.

과기정통부는 KT 보안 조치의 총체적인 미흡이 위약금 면제 사유에 해당한다고 판단했다. 과기정통부는 KT가 위약금 면제 조치를 SKT의 사례에 준해 적용할 것으로 본다. SKT는 열흘간 위약금 면제를 적용했다.

한편 과기정통부는 LGU+를 위계에 의한 공무집행방해로 경찰청에 수사 의뢰했다. LGU+가 당국에서 해킹 사고 정황을 안내한 이후에 서버 운영체계(OS)를 재설치 또는 폐기했기 때문이다.