인증서 하나로 11개월간 통신망 활보…'가짜 기지국'에 뚫린 KT

KT 개인정보 유출 사고는 해커가 통신사의 소형 기지국을 복제해 핵심 통신망으로 들어왔다는 점에서 기존 해킹 사고와 다르다. 개인정보가 저장된 서버를 공격한 것이 아니라 이용자의 휴대전화와 통신망 사이에 끼어들어 통화와 문자 인증정보까지 가로챘다.

30일 개인정보보호위원회가 발표한 조사결과에 따르면 KT 공격의 출발점은 '펨토셀'이었다. 펨토셀은 가정이나 사무실, 지하처럼 이동통신 신호가 약한 곳에 설치하는 소형 기지국이다. KT 소유 장비로, 설치기사가 직접 설치하며 망 접속 승인과 인증서 발급, 내부망 접근 권한을 모두 KT가 관리한다.

해커는 유실된 KT 펨토셀에 저장된 인증서를 복사해 자체 제작한 장비에 삽입했다. 정상 장비의 신분증을 훔쳐 가짜 기지국에 붙인 셈이다. 이후 주변 이용자의 휴대전화가 이 불법 장비를 정상 기지국으로 인식해 연결되도록 유도했다.

휴대전화가 불법 펨토셀에 연결되자 해커는 단말기와 KT 내부망 사이를 오가는 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 가로챘다. 여기에 별도로 확보한 이름과 성별, 생년월일을 결합해 휴대전화 소액결제를 신청했다.

결제 승인에 필요한 인증도 같은 길목에서 뚫렸다. 인증코드가 담긴 문자메시지(SMS)와 자동응답전화(ARS)가 불법 펨토셀을 거쳐 전달됐고, 해커는 이를 탈취해 결제를 최종 승인했다. 368명이 약 2억4000만원의 피해를 봤다. 개인정보가 외부로 빠져나가는 데서 끝나지 않고 이동통신망을 통한 본인 인증 절차 자체가 무력화된 것이다.

개인정보위가 확인한 KT의 보안 허점은 한두 가지가 아니었다. 펨토셀 인증서의 유효기간이 10년에 달해 장비가 유실되거나 인증서가 복제돼도 장기간 악용될 수 있었지만, 이를 폐기하거나 갱신하는 통제는 작동하지 않았다.

내부망 접속 IP도 제한하지 않았다. KT가 관리하는 지정 회선뿐 아니라 다른 통신사나 해외 IP에서도 훔친 인증서만 있으면 접속할 수 있었다. 펨토셀 관리서버를 거치지 않고 핵심 통신망에 닿는 우회 경로도 있었다. 장비가 통신망에 접속할 때 부여되는 식별자인 셀 아이디(Cell ID)는 관리 자체를 하지 않아, 등록되지 않은 장비가 붙어도 탐지하거나 차단하지 못했다.

이 허점들이 겹치면서 해커는 2024년 10월부터 2025년 9월까지 약 11개월간 별도 인증 절차 없이 KT 내부망에 머물수 있었다. KT는 그동안 이상 징후를 한 번도 탐지하지 못했고, 부정결제 피해와 이용자 민원이 쌓인 뒤에야 비정상 접속을 식별했다.

KT는 심의 과정에서 해커가 직접 펨토셀을 제작한 전례 없는 유형의 공격이어서 예측이 어려웠다고 주장했다. 개인정보위의 판단은 달랐다. 펨토셀은 음영지역 이용자의 통신이 반드시 거쳐야 하는 필수 장비이고, 펨토셀을 통한 해킹은 해외 사례와 학계에서 보안 취약점 지적이 이어져 온 사안이라는 것이다. 수법의 새로움이 아니라 통신망 운영자가 지켜야 할 기본적인 접근통제 의무를 다했는지가 핵심이라는 의미다.

개인정보위는 KT에 펨토셀 등 무선통신망 장비 전반의 취약점을 점검하고 통신망 내 개인정보에 대한 접근통제를 강화하라고 시정명령했다. 일부 IT서비스에만 받아 둔 개인정보보호 관리체계(ISMS-P) 인증도 사고가 난 이동통신 네트워크·시스템까지 확대하라고 권고했다. 개인정보를 지키는 방어선이 서버가 아니라 통신망 그 자체라는 점을 확인한 처분이다.