속보=KT가 최근 발생한 무단 소액결제 사건과 관련해 자사 서버가 외부 침해를 받은 사실을 인지하고도 사흘 뒤에야 한국인터넷진흥원(KISA)에 신고한 사실이 알려졌다
무단 소액결제 사건으로 이미 논란의 복판에 선 상황에서도 기업들 사이에 관행처럼 되풀이되는 24시간 신고 규정을 위반한 '늑장 신고'를 되풀이한 것이어서 비판을 피하기 어려울 전망이다.
KT는 지난 18일 23시57분 KISA에 서버 침해 흔적 4건과 의심 정황 2건 등 총 6건의 정황을 신고했다고 19일 밝혔다.
KT 측에 따르면, 지난 통신사 해킹 사고 이후 정확한 실태를 파악하기 위해 외부 보안 전문 기업에 의뢰해 약 4개월간 전사 서버를 대상으로 정밀 조사를 실시했다. 이번 침해 정황은 해당 조사 결과를 통해 확인된 것으로 전해졌다.
KT 관계자는 “정부 조사에 적극 협조해 조속히 침해 서버를 확정하고 구체적인 침해 내용과 원인 규명을 위해 최선을 다하겠다”고 밝혔다.
KT가 무단 소액결제 피해자가 362명, 불법 초소형 기지국 신호를 수신한 이용자 수가 2만명으로 늘었다고 발표했지만 이는 최근 3개월에 한정된 조사 결과여서 보다 광범위한 조사 필요성이 지적됐다.
무단 소액결제 범죄 집단의 실체나 범행 시작 시기가 아직 모호한 상황에서 3개월을 조사 대상으로 제한할 경우 그 전에 벌어졌을 수 있는 피해 파악과 해결은 이용자 몫이 되기 때문이다.
또, KT가 보유한 불법 초소형 기지국(펨토셀) 수가 당초 알려진 것보다 많은 23만2천대에 달하는 가운데 방치돼 범죄 악용 가능성이 있는 펨토셀에 대한 점검을 최근 3개월 이내로 국한한 것도 소극적 대책으로 지적됐다.
국회 과학기술정보방송통신위 소속 최수진 의원(국민의힘)이 확보한 KT의 KISA 침해사고 신고 내용에 따르면, KT는 서버 침해 인지 시점을 9월15일 14시로 명시했다. 신고 접수는 전날인 18일 23시57분30초 이뤄졌다.
관련법은 기업이 해킹 피해를 최초로 확인한 시점에서 24시간 이내 신고를 의무화하고 있다.
KT는 사고발생 시간에 대해선 '확인불가'로 기재했다 사고 내용은 '제3자 보안 점검 활동에 따른 침해 정황 확인'으로 밝혔다.
KT는 SKT 사태 이후 자체적으로 보안업체 용역을 통해 서버 조사를 진행해 왔다.
4건의 침해흔적 발견과 2건의 침해의심 정황을 보고한 가운데 구체적으로 윈도우 서버 침투 후 측면 이동 시도와 Smominru 봇내 감염, VBScript 기반 원격코드 실행 및 민감정보 탈취, Metasploit을 통한 SMB 인증 시도 및 측면 이동 성공을 적시했다.
의심 정황으로는 리눅스 sync 계정 조작 및 SSH 퍼블릭키 생성과 Rsupport 서버 의심 계정 생성 및 비밀키 유출 등 2건을 보고했다.
구재형 KT 네트워크기술본부장은 이날 정부 브리핑에서 "서버 점검은 별도 진행 과제로 4개월간 진행했고, 소액결제와 상호 연결성이 없다보니 어제 저녁에 그 내용을 알게 됐다"며 "브리핑 전에 이 사실을 아는 상황은 아니었다"고 말했다.
한편 정부가 최근 잇따른 해킹사고와 관련해 엄중한 상황인식을 밝히고 범부처 차원의 근본 대책 마련 방침을 확인했다.
과학기술정보통신부와 금융위원회는 이날 통신사, 금융사 사이버 침해사고와 관련한 합동 브리핑에서 이같이 확인하고 조속한 사태 수습에 최선을 다하겠다고 강조했다.
류제명 과기부 2차관은 KT 무단 소액결제 사태와 관련, "민관합동조사단이 사고 원인을 신속하고 철저히 분석해 결과를 투명하게 공개하겠다"며 "현재 조사단은 해커의 불법 초소형 기지국이 어떻게 KT 내부망에 접속할 수 있었는지, 개인정보는 어떤 경로로 확보했는지를 중심으로 조사를 진행 중"이라고 설명했다.
이어 피해자 식별을 통해 362명, 약 2척4천만원의 피해 규모와 2만30명의 이용자가 불법 기지국에 노출돼 전화번호, 가입자 식별번호(IMSI) 정보, 단말기 식별번호(IMEI) 정보가 유출된 정황을 확인했다고 부연했다.
류 차관은 "정부는 국가안보실을 중심으로 과기부, 금융위 등 관계부처와 함께 범부처 합동으로 해킹 피해 최소화를 위해 노력하고 있다"며 "과기부는 현행 보안 체계 전반을 원점에서 재검토해 임시방편적 사고 대응이 아닌 근본적 대책을 마련할 계획"이라고 강조했다.
이어 "기업이 고의적으로 침해 사실을 지연 신고하거나 미신고할 경우 과태료 등 처분을 강화하고 기업 신고 없이도 정황을 확보한 경우 정부가 철저히 조사할 수 있도록 제도를 개선해 나갈 것"이라고 확인했다.
