왜 KT만 뚫렸나...의문만 남은 '무단 소액결제' 사고

KT, 기지국서 암호 풀어 펨토셀 해킹에 취약

내부자 해킹 연루 및 불법 제조 가능성 부각

무단 소액결제 침해사고가 KT에서만 벌어진 점을 두고 의문이 증폭되고 있다. 아직 명확하게 밝혀진 바는 없지만, 초소형 기지국(펨토셀) 네트워크와 전송 방식의 차이 때문이라는 분석이 힘을 얻고 있다. 일각에서는 이런 펨토셀 취약점을 인지한 KT 내부 개발자나 협력사 직원 소행일 가능성도 거론된다.

12일 관련 업계에 따르면 KT는 문자 전송 방식에서 단말기-기지국 구간(에어망)만 암호화하고, 기지국-통신사 구간(코어망)에서는 암호화를 적용하지 않아 펨토셀이 인증문자를 탈취할 수 있는 구조로 분석된다. SK텔레콤과 LG유플러스가 코어망까지 암호화를 적용한 것과 달리, KT는 상대적으로 인증 단계가 취약해 공격자가 KT 가입자만을 표적으로 삼은 것으로 추정된다.

펨토셀은 반경 10m 통신을 제공하는 초소형, 저전력 이동통신 기지국이다. KT뿐 아니라 SK텔레콤과 LG유플러스까지 통신 3사 모두 가정이나 사무실처럼 실내 통신신호가 약한 곳에 설치해 사용한다. 김용대 카이스트 전기및전자공학부 교수는 "KT의 경우 펨토셀 내부에서 복호화된 문자메시지 본문을 볼 수 있다"며 "탈취되거나 해킹된 펨토셀에서 이 평문을 그대로 가로채 소액결제 인증번호(OTP)를 탈취할 수 있다"고 말했다.

해커는 이러한 구조를 사전에 파악하고 KT 펨토셀을 통해 전송 받은 국제이동가입자식별정보(IMSI)로 무단 소액결제 사태를 일으킨 것으로 보인다. KT는 민원 제기자 6명의 1년치 통신 기록을 분석한 결과 하나의 불법 펨토셀 ID를 확인했으며, 다른 고객들의 이력을 조회하는 과정에서 또 다른 불법 펨토셀 ID도 발견했다고 설명했다.

구재형 KT 네트워크기술본부장(상무)은 전날 서울 광화문사옥에서 열린 기자간담회에서 "불법 초소형 기지국이 KT망에 접속했다는 건 기존에 연동된 장비였다고 추정한다"며 "통화기록 전수조사에서 확인된 ID 형식도 KT가 운영하는 펨토셀과 동일하다"고 설명했다. "(해커가) 통신에 상당한 지식이 있는 것으로 보인다"고도 덧붙였다.

펨토셀 취득 경로에 대해서는 아직 명확히 드러나지 않은 상태다. 그러나 사용이 끝난 펨토셀 철거 과정에서 제대로 폐기되지 않아 벌어진 일이라는 지적이 제기된다. KT새노조는 "현장 직원에 따르면 고객이 인터넷을 해지하거나 이사할 때 가정에 설치된 초소형 기지국이 회수되지 않는 경우가 빈번하다"며 "해커가 비교적 쉽게 초소형 기지국을 입수해 범죄에 악용할 수 있는 환경이 조성된 것"이라고 비판했다. 다만 KT는 자체 조사에서 내부 직원 연루 여부는 확인되지 않아 경찰 수사가 필요하다는 입장이다.

범행에 사용된 펨토셀이 불법 제조되거나 변작된 장비일 가능성도 있다. 그러나 해커들이 IMSI를 알아내 인증번호를 탈취했어도 어떻게 소액결제까지 이뤄졌는지는 미궁이다. 상품권 소액결제를 위해서는 IMSI뿐만 아니라 이름과 주민등록번호 등 개인정보를 입력해야 한다. 이 때문에 해커들이 모종의 경로로 피해자의 개인정보를 확보했을 것으로 추정된다. 구 본부장은 "수사에 적극 공조하고 있으며 실물이 확보되면 정확한 과정을 알 수 있을 것"이라고 말했다.

(중앙)김영섭 KT 대표이사가 지난 11일 오후 서울 종로구 KT 광화문 West 사옥에서 소액결제 피해 관련 기자 브리핑에 앞서 고개 숙여 사과를 하고 있다.

왼쪽부터 서창석 KT 네트워크부문장, 김 대표이사, 이현석 KT 고객(Customer)부문장. 사진=이수길 기자 [e-mail]