KT를 25년째 이용해온 30대 직장인 최모씨는 최근 잇따른 KT 해킹 관련 보도를 볼 때마다 답답함을 느낀다. 불법 초소형 기지국(펨토셀)을 통한 무단 소액결제 피해는 없었지만, 지난해 다수의 서버가 악성코드에 감염된 사실이 알려지자 자신의 개인정보도 새어 나갔을지 모른다는 불안이 커졌다. 그는 “개인정보 유출 여부조차 알리지 않는 KT의 태도에 장기 고객으로서 배신감을 느낀다”고 말했다. 악성코드 감염 뒤 이 사실을 숨겨온 데 대해선 “부도덕한 기업이라는 생각까지 하게 됐다”고 했다.
KT가 지난해 서버 악성코드 감염 사실을 파악하고도 ‘백신 처리’로 덮은 사실이 드러나면서 후폭풍이 거세게 일고 있다. “국민을 기만했다”는 비판이 잇따르고, 전 고객 위약금 면제를 요구하는 목소리도 한층 커지고 있다.
9일 통신업계에 따르면, 지난 6일 민관합동조사단의 중간조사 결과 발표를 계기로 KT의 도덕성 논란이 확산하고 있다. 과학기술정보통신부와 한국인터넷진흥원(KISA)을 주축으로 한 조사단에 따르면 KT는 지난해 3~7월 ‘BPF도어(Door)’라는 악성코드에 다수 서버가 감염되는 대규모 사이버 침해사고를 당했다. 그럼에도 자체 백신 프로그램을 실행한 뒤 이 사실을 당국에 신고하지 않았다.
BPF도어는 SK텔레콤에서 고객 약 2300만명의 개인정보를 탈취당한 통로로 지목된 악성코드다. 감염된 KT 서버는 무단 소액결제 사태의 범행 수단으로 쓰인 펨토셀과 연관이 있는 서버로, 고객 이름, 전화번호, e메일 주소, 단말기 식별번호(IMEI) 등이 저장돼 있어 개인정보 유출 가능성이 높다. 조사단은 정확한 감염 규모와 개인정보 유출 여부, 무단 소액결제 사태와의 연관성은 “포렌식 등 정밀 분석을 거쳐야 확인 가능하다”고 밝혔다.
KT의 해킹 은폐 시도는 이번이 처음이 아니다. 지난 7월에는 KISA로부터 원격상담시스템 서버 해킹 의혹을 통보받았을 때 이를 부인하면서도, 내부적으로는 해당 서버를 폐기해 과기정통부가 수사를 의뢰한 바 있다.
‘해킹 은폐’ 논란에 더해, 통신망 관리 부실로 도청 가능성까지 제기되고 있다. 조사단에 따르면, KT는 모든 펨토셀에 동일한 인증서를 사용했고, 유효기간을 10년으로 설정했으며, 비정상 IP를 차단하지 않았다. 펨토셀 제품 고유번호 등이 KT망에 등록된 정보인지 여부도 검증하지 않았다. 이로 인해 불법 펨토셀이 KT망에 손쉽게 접속할 수 있었다. 조사단의 자체 실험에서는 불법 펨토셀을 조종하는 자가 단말(휴대전화)과 KT 코어망(통신 핵심망) 사이를 오가는 통신 데이터의 암호를 해제할 수 있는 것으로 확인됐다. 조사단은 “음성통화 탈취 가능성에 대해서는 추가 조사하겠다”고 밝혀, 도청 우려를 완전히 배제하지 않았다.
중간조사 결과 발표 이후 통신업계 안팎에서 비판 여론이 커지고 있다. 국회 과학기술정보방송통신위원회 소속 더불어민주당·조국혁신당 의원 12명은 지난 6일 공동성명을 내고 KT의 행태를 “국민 기만”으로 규정했다. 이들은 “KT의 반복된 은폐와 거짓 대응은 국민의 통신권과 정보주권을 침해한 사회적 범죄”라고 비판했다. 서울YMCA 시민중계실 역시 “해킹 사실을 숨기고 이용자와 정부를 기만한, 불법과 탈법으로 점철된 부도덕한 기업 운영의 결정체”라며 KT를 강도 높게 규탄했다. 국회 과방위원들과 서울YMCA는 전 고객 위약금 면제와 신규 영업 중단, 정부의 엄정 조치를 요구했다.
즉각적인 검찰 수사를 촉구하는 목소리도 나왔다. KT 새노조는 “SK텔레콤은 해킹 발생 직후 신고해 대규모 가입자 이탈과 실질적 피해를 감수했지만, KT는 같은 해킹을 당하고도 이를 숨겼다”며 “검찰이 즉각 수사에 착수해야 한다”고 밝혔다.
