▲류제명 과학기술정보통신부 제2차관이 29일 서울 종로구 정부서울청사에서 열린 KTㆍLGU+ 침해사고 조사 결과 브리핑에서 발언하고 있다. 사진=연합뉴스
정부가 29일 KT에 모든 이용자를 대상으로 한 위약금 면제를 요구했다.
과학기술정보통신부는 이날 정부서울청사에서 KT 침해 사고 최종 조사 결과를 발표하고 KT 이용자들이 모두 위약금 면제 실시 대상에 해당한다고 밝혔다.
민관합동조사단은 KT 서버 3만3000대를 6차례 점검한 결과 서버 94대에 BPF도어(BPFDoor), 루트킷, 디도스 공격형 코드 등 악성코드 103종이 감염돼 있었다고 설명했다.
SKT는 악성코드 33종에 감염됐고 공급망 보안 관리 취약으로 악성코드 1종이 서버 88대에 유입됐었는데 KT의 감염 범위가 더 광범위했다.
KT는 작년 3월 감염 서버를 발견하고도 정부에 알리지 않고 서버 41대에 대해 코드 삭제 등 자체 조치로 무마해 피해 파악이 늦어졌다.
서버 감염과 별개로 불법 초소형 기지국(펨토셀)이 통신망에 무단 접속해 국제이동가입자식별정보(IMSI)와 국제단말기식별번호(IMEI), 전화번호 탈취 피해를 본 이용자는 2만2227명이었다. 무단 소액결제 피해자는 368명, 피해액 2억4300만원으로 중간 조사 결과와 같았다.
경찰이 무단 소액결제범들로부터 확보한 불법 펨토셀을 포렌식 분석한 결과 이들의 불법 펨토셀 기기에는 KT 망 접속에 필요한 KT 인증서와 인증 서버 IP 정보, 해당 기지국을 거쳐 가는 트래픽을 가로채 제3의 장소로 전송하는 기능이 있음을 확인했다.
또한 단말기에서 코어망에 이르는 통신 과정에서 암호화가 풀려 ARS나 SMS 등 결제 인증 정보가 탈취됐고 이용자의 문자, 통화 내용이 유출도 가능한 것으로 나타났다.
모든 펨토셀이 동일한 제조사 인증서를 사용하고 있었고, 타사나 해외IP 등을 차단하지도 않았다. 조사단은 “KT의 펨토셀 관리 체계가 부실해 불법 펨토셀이 KT 내부망에 언제 어디서든 접속할 수 있었다"면서 인증 서버 IP의 주기적 변경과 대외비 관리 등 보안 관리 개선책을 요구했다.
과학기술정보통신부는 KT가 보안 조치를 함에 있어 총체적으로 미흡했다며 이는 위약금 면제 사유에 해당한다고 판단했다.
KT 약관에 따르면 '회사의 귀책 사유로 이용자가 서비스를 해지할 경우 위약금을 면제할 수 있다'는 규정이 있다. 특히 평문의 문자, 음성 통화가 제삼자에게 새어나갈 위험성은 소액결제 피해를 본 일부 이용자에 국한된 것이 전체 이용자에 해당한다고 봤기 때문이다.
앞서 조사단은 로펌 등 5개 기관에 법률 자문을 진행해 4곳에서 이번 침해 사고로 KT가 안전한 통신 서비스 제공이라는 계약의 주요 의무를 위반했기 때문에 위약금 면제 규정 적용이 가능하다는 법적 판단을 전달받은 바 있다.
통신업계에 따르면 KT는 30일 이사회를 열어 위약금 면제 범위와 고객 보상안을 논의, 발표할 것으로 알려졌다.
사단은 KT에 △서버 등 네트워크가 연결되는 장치에서 발생하는 모든 활동을 감지 분석하는 도구(EDR) △백신 등 보안 설루션 도입 확대 △분기에 1회 이상 모든 자산에 대한 보안 취약점 정기 점검 및 운영 시스템 로그 기록의 최소 1년 이상 보관 △중앙 로그 관리 시스템 구축을 통한 사이버 침해 감시 △전사의 자산을 담당하는 정보기술최고책임자(CIO) 지정 △정보기술 자산관리 솔루션을 도입 등을 요구했다.
과기정통부는 KT에 재발 방지 이행 계획을 내년 1월까지 제출하도록 하고 6월까지 이행 여부를 점검할 계획이다.
KT는 “민관 합동 조사단의 결과 발표를 엄중하게 받아들이며 고객 보상과 정보보안 혁신 방안이 확정 되는 대로 조속히 발표할 예정"이라고 밝혔다.
한편, 민관 합동 조사단은 LGU+의 해킹 의혹과 관련해서는 익명의 화이트해커로부터 정보 유출이 지목된 통합 서버 접근제어 설루션(APPM)이 해킹당했고 서버 목록, 서버 계정정보 및 임직원 성명 등 관련 정보가 실제 유출된 것을 확인했다.
그러나 LGU+는 당국에서 침해 사고 정황을 안내한 이후에 서버 운영체계(OS)를 다시 설치하거나 폐기했다.
과기정통부는 이러한 LGU+의 행위가 조사를 방해했다고 보고 위계에 의한 공무집행 방해로 경찰청에 수사 의뢰했다.
LGU+는 “경찰 수사에 성실히 임하겠다"고 밝혔다.
;){kind=link}