[메디컬투데이=유정민 기자] KT가 지난해 자사 서버 43대에서 악성코드 감염 사실을 인지하고도 정보통신망법에 따른 신고 절차를 거치지 않고 자체적으로 문제를 해결한 것으로 확인됐다.

6일 발표된 KT 침해사고 민관합동조사단의 중간 조사 결과에 따르면, KT는 BPFDoor와 웹셸 등 악성코드가 감염된 서버를 발견했음에도 불구하고 관련 기관에 신고하지 않은 채 대응했다. 이는 법률상 3000만 원 이하의 과태료 부과 대상이다.

조사단은 "서버 포렌식 분석을 통해 과거 KT 내부에서 BPFDoor 등 악성코드 침해 사고가 발생했음을 확인했다"며 "KT가 이를 정부에 신고하지 않고 자체적으로 처리한 사실도 발견했다"고 밝혔다.

특히 일부 감염 서버에는 이름, 전화번호, 이메일 주소, 단말기 식별번호(IMEI) 등 개인정보가 저장되어 있었다고 전했다.

지난 9월 8일 KT는 소액결제 피해자의 통화 이력을 분석하던 중 내부망에 등록되지 않은 불법 기기가 접속한 사실을 파악하고 한국인터넷진흥원(KISA)에 침해 사고를 신고했다. 이에 정부는 즉시 민관합동조사단을 구성하여 사건 전반에 대한 조사를 시작했다.

약 두 달간의 조사 결과, 조사단은 △불법 펨토셀로 인한 소액결제 및 개인정보 유출 피해 현황 △KT의 펨토셀 관리 및 내부망 접속 인증 문제 △소액결제 인증정보(ARS, SMS) 탈취 시나리오 △과거 악성코드 발견 및 조치 내역 △침해 사고 신고 지연 등 총 다섯 가지 주요 사항을 확인했다고 밝혔다.

조사단은 KT의 펨토셀 관리 체계가 전반적으로 미흡하여 불법 펨토셀이 내부망에 쉽게 접근할 수 있었던 점을 지적했다.

모든 펨토셀에 동일한 인증서가 사용되어 인증서 복사가 가능할 경우 불법 펨토셀도 KT 망 접속이 가능했다고 설명했다. 또한 KT 인증서의 유효기간이 10년으로 설정돼 한 번이라도 접속 이력이 있는 펨토셀은 지속적으로 네트워크 접속이 허용되는 문제점도 발견됐다.

이에 지난 5일 조사단은 제품별 별도의 인증서 발급 조치를 시행했다고 발표했다.

더불어 펨토셀 제조사가 셀ID, 인증서, KT 서버 IP 등 핵심 정보를 보안 관리 체계 없이 외주 제작사에 제공했고, 저장 장치에서 해당 정보가 쉽게 추출될 수 있다는 점도 확인됐다.

아울러 KT는 내부망 펨토셀 접속 시 비정상 IP 차단이나 제품 고유번호 및 설치 지역정보 검증 절차를 제대로 수행하지 않은 것으로 나타났다.

KT는 국제표준화기구(3GPP)와 한국정보통신기술협회(TTA) 표준 권고에 따라 단말과 기지국 간 구간 암호화와 단말과 코어망 간 종단 암호화를 실시하고 있다.

그러나 조사단은 전문가 의견 청취와 통신망 테스트베드 실험을 통해 불법 펨토셀이 종단 암호화를 해제할 수 있음을 밝혀냈다.

이로 인해 불법 펨토셀이 ARS와 SMS 같은 결제 인증정보를 평문으로 탈취할 수 있었다고 판단했다.

조사단은 "불법 펨토셀을 통한 문자 및 음성통화 탈취 가능성에 대해서도 추가 전문가 자문과 실험을 진행할 계획"이라고 덧붙였다.

또한 KT는 지난 9월 1일 경찰로부터 특정 지역 무단 소액결제 발생 정보를 전달받아 내부망 이상 통신 패턴을 발견하고 차단 조치를 했음에도, 불법 펨토셀 ID 존재 확인 후인 9월 8일에서야 침해 사고를 신고하는 등 신고 지연 사실도 드러났다. 이 역시 정보통신망법 위반으로 과태료 부과 대상이다.

아울러 외부 업체 보안점검 결과 지난 9월 15일 내부 서버 침해 흔적이 확인됐으나, KT는 당국에 이를 18일 밤 늦게야 신고한 것으로 나타났다.