KT는 지난해 서버에 BPF도어(BPFDoor)라는 악성코드라는 대량 감염된 사실을 자체적으로 파악하고도 은폐했던 사실이 드러났다. KT는 또 통신망 보안 관리도 허술해 통신망에 접근할 수 있는 인증서를 복사해서 범죄에 이용할 수 있었던 것으로 밝혀졌다.

최우혁 과학기술정보통신부 네트워크정책실장이 6일 정부서울청사에서 KT 해킹사고 중간 조사결과를 발표하고 있다. 연합뉴스

KT 펨토셀 해킹사고 중간조사 결과

● 조사단 6일 중간조사 결과 발표

KT 침해사고 민관합동조사단(이하 조사단)은 이 내용을 담은 KT 침해사고 중간 조사 결과를 6일 오후 정부서울청사 브리핑을 통해 밝혔다.

조사단은 이번 조사에서 불법 초소형 이동식 기지국(펨토셀)에 의한 소액결제와 개인정보 유출사고와 관련해 불법 펨토셀로 인한 피해 현황, KT의 펨토셀 관리 및 내부망 접속 인증 관련 문제점, 소액결제 인증정보 탈취 시나리오, 과거 BPFDoor 등 악성코드 발견 및 조치 사실, 침해사고 신고 지연 등 법령 위반을 확인했다.

조사단은 KT의 펨토셀 관리 체계가 전반적으로 부실해 불법 펨토셀을 이용해 KT 내부망에 쉽게 접속할 수 있었다고 밝혔다. KT에 납품되는 모든 펨토셀이 동일한 인증서를 사용했고 이 인증서를 복사하면 불법 펨토셀도 KT망에 접속이 가능했다는 게 조사단 확인 사항이다. KT 인증서 유효기간이 10년이어서 한 번이라도 KT망에 접속한 이력이 있는 펨토셀은 지속적으로 KT망에 접속할 수 있다는 게 조사단 설명이다.

조사단은 “펨토셀 제조사가 펨토셀에 탑재되는 셀ID, 인증서, KT 서버 IP 등 중요 정보를 보안관리 체계 없이 펨토셀 제작 외주사에 제공했고 펨토셀 저장 장치에서 해당 정보를 쉽게 확인 및 추출하는 것이 가능했다”고 설명했다.

KT는 내부망에서의 펨토셀 접속 인증 과정에서 타사 또는 해외 IP 등 비정상 IP를 차단하지 않았다. 또 펨토셀 제품 고유번호, 설치 지역정보 등 형상 정보가 KT망에 등록된 정보인지 여부에 대해서도 검증하지 않았다는 게 조사단 설명이다. 불법 펨토셀을 장악한 자가 종단 암호화를 해제할 수 있었고 종단 암호화가 해제된 상태에서는 불법 펨토셀이 인증정보를 취득할 수 있었다는 게 조사단 판단이다. 종단 암호화란 단말에서 코어망까지 통신데이터 자체를 암호화하는 것을 말한다.

● 악성코드 침해사고 은폐

또한 조사단은 서버 포렌식 분석 등을 통해 과거 KT에 BPFDoor 등 악성코드 침해사고가 발생했으며 KT는 이를 신고하지 않고 자체 처리한 사실을 확인했다. KT는 지난해 3~7월 BPFDoor, 웹셸 등 악성코드 감염서버(43대)를 발견했지만 정부에 신고 없이 자체적으로 조치했다.

일부 감염서버에서 성명, 전화번호, 이메일주소, 단말기 식별번호(IMEI) 등의 정보가 저장돼 있었다. 조사단은 “이번 사안을 엄중히 보고 있다. 사실 관계를 면밀히 밝히고 관계 기관에 합당한 조치를 요청할 계획”이라고 강조했다.

지난 8월 8일 해킹 전문지 ‘프랙’의 보고서에 언급된 국가 배후 조직에 의한 KT 인증서 유출 정황과 관련, KT는 올해 8월 1일에 관련 서버를 폐기했다고 한국인터넷진흥원(KISA)에 답변했다. 그러나 실제로는 지난 8월 1일(2대), 8월 6일(4대), 8월 13일(2대)에 걸쳐 폐기하는 등 폐기 시점을 관계 당국에 허위 제출했다. 또한 KT는 폐기 서버 백업 로그가 있음에도 지난 9월 18일까지 조사단에 이를 보고하지 않았다.

조사단은 KT가 정부 조사를 방해하기 위한 고의성이 있다고 판단해 형법 제137조(위계에 의한 공무집행방해)에 따라 지난 2일 수사기관에 수사를 의뢰했다.

KT는 또 외부 업체를 통한 보안점검 결과를 통해 지난 9월 15일 KT 내부 서버에 대한 침해 흔적이 있는 것을 확인했지만 사흘 뒤인 같은 달 18일(23시 57분)에야 당국에 침해사고를 지연신고했다.

KT는 지난 9월 8일 소액결제 피해자의 통화이력을 분석한 결과 KT에 등록되지 않은 불법 기기가 내부망에 접속한 사실을 발견해 KISA에 침해사고를 신고했다. 펨토셀에 의한 KT 가입자들의 소액결제 피해 사건은 지난 8월 말부터 드러났다. 지역적으로는 수도권을 중심으로 강원도까지 확산됐고 불법 접속에 노출된 피해자 수는 최소 2만2227명, 무단 소액결제 피해자 수는 최소 368명이다. 이번 중간 조사 결과에서 KT 서버가 대량 감염된 사실이 드러남에 따라 피해 확산은 더욱 커질 전망이다. 과기정통부는 지난 9월 9일부터 조사단을 구성·운영 중이고 최종 조사 결과는 정해지지 않았다.