KT가 악성코드에 서버가 감염된 사실을 알면서도 당국에 신고하지 않고 은폐한 것으로 확인됐다. 정부는 해당 서버에 대한 정밀 조사를 마친 뒤 법적 조치를 취할 방침이다.

‘KT 무단 소액결제 사건’을 조사 중인 민관합동조사단(이하 조사단)은 6일 정부 서울청사에서 중간 조사결과 브리핑을 열고 “지난해 3~7월 KT의 서버 43대에서 ‘BPF도어’ ‘웹셀’ 등 다수의 악성코드가 설치된 사실을 발견했다”고 발표했다. 감염된 서버는 펨토셀(초소형 기지국)과 연계된 서버로, 고객 이름, 전화번호, 이메일 주소, IMEI(단말기 고유식별번호) 등 개인정보가 저장돼 있었다. 조사단장인 최우혁 과학기술정보통신부 네트워크정책실장은 “이번 사안을 엄중하게 보고 있다”며 “사실관계를 명확하게 파악한 뒤 엄정한 조치를 내릴 것”이라고 말했다.

BPF도어는 올해 4월 발생한 SKT 해킹 사태 주범으로도 꼽히는 악성코드다. 해커가 감시망을 피해 접근할 수 있게 설치하는 백도어(Backdoor·뒷문)의 일종이다. 일반 악성코드와 달리 은밀하게 통신을 제어하도록 설계된 고급 스텔스(Stealth·눈에 띄지 않는) 기능을 갖췄다.

조사단은 KT가 악성코드 침해 사실을 은폐한 정황도 공개했다. 최우혁 실장은 “KT가 악성코드 침해 사실을 인지했지만 이를 한국인터넷진흥원(KISA)에 신고하지 않고 흔적(악성코드)을 지우기 위해 백신을 돌렸다”며 “이는 명백한 은폐행위이고 정보통신망법 상 과태료 부과 대상 행위”라고 말했다. 감염 서버를 확인할 수 있었던 것도 서버 포렌식 조사 중 백신 작동 기록을 포착한 다음 KT를 추궁한 결과였다.

KT는 지난 8월 11일 한국인터넷진흥원(KISA)로부터 원격상담시스템 서버 해킹 정황을 통보받았지만, 이를 공개하지 않고 내부적으로 해당 서버를 폐기한 의혹도 받고 있다. 지난달 조사단은 KT가 서버 폐기 시점을 허위 보고한 행위가 위계에 의한 공무집행 방해 혐의라며 경찰에 수사를 의뢰했다. 최우혁 실장은 “KT가 보고한 (악성코드에 감연된 서버) 43대란 수치를 최소 수치로 가정하고, 포렌식 조사를 시행할 것”이라고 말했다. 이에 대해 KT측은 입장문을 통해 “악성코드 발견사실을 지연 신고해 송구하다”고 밝혔다.

조사단은 KT 무단 소액결제 사태는 불법 펨토셀이 원인이 됐다고 설명했다. 자체 테스트 결과 불법 펨토셀을 통해 2차 인증 정보가 담긴 ARS(자동응답전화), 문자메시지도 탈취할 수 있는 것으로 나타났기 때문이다. 조사단은 KT의 펨토셀 관리가 전반적으로 부실했다고 지적했다. KT에 납품되는 펨토셀이 모두 동일한 인증서를 사용하고 있어서 이 인증서만 복사하면 불법 펨토셀도 KT망에 접근할 수 있어서다.

조사단은 경찰과 공조해 무단 소액결제 사건 피의자로부터 확보한 불법 펨토셀을 더 정밀하게 분석할 예정이다. 최종 조사결과가 나오면 펨토셀 관리 부실 문제, 악성코드 감염 은폐 의혹 등을 종합해 수사의뢰 등 법률적 조치를 취할 계획이다. KT는 지난 4일 무단 소액결제 사태에 대한 보상안으로 1600만명 고객 전원을 대상으로 유심 무상 교체 방안을 발표했다. 다만 전 고객 대상 위약금 면제 조치는 아직 결정하지 않은 상황이다.