KT가 무단 소액결제 사고의 시작점이 된 초소형 기지국(펨토셀) 관리 부실을 인정했다. 과학기술정보통신부는 KT의 사고 은폐 의혹이 확인되면 경찰 수사를 의뢰할 예정이다.
김영섭 KT 대표는 24일 오전 서울 여의도 국회에서 열린 과학기술정보방송통신위원회(과방위) 청문회에 출석했다. 김 대표는 "펨토셀 관리 실태를 보니 여러 가지 문제가 많았다. 펨토셀 회수 과정도 허술했다"고 말했다.
KT는 펨토셀 설치·회수 관리를 외주업체에 맡기고 있다. 펨토셀 유효 인증 기간도 10년으로 설정했다. 김 대표는 "사고 이후 사용하지 않는 펨토셀은 망에 붙지 못하도록 조치했다"고 설명했다.
SK텔레콤의 경우 자회사에서 펨토셀을 설치·회수 관리한다. 한 주간 망에서 펨토셀이 사용되지 않는지 확인 후 3개월간 사용하지 않는 게 확정되면 삭제하는 식이다. 참고인으로 출석한 이종현 SK텔레콤 정보보호최고책임자(CISO)는 "(사용하지 않는) 펨토셀은 삭제를 통해서 망에 붙지 못하도록 처리하고 있다"고 말했다.
KT가 그간 신고 내용을 번복하면서 문제가 된 데 대해서는 데이터양을 이유로 들었다. 김 대표는 "축소 은폐로 생각할 수도 있겠다고 짐작은 된다"면서도 "업무처리에서 분량이 많고 시간이 걸렸고, 나오는 대로 확인되는 대로 알려 드리다 보니 (그랬다)"라고 설명했다.
앞서 KT는 사고 초반 유출 내용, 피해 범위 등을 더 적게 발표했다가 뒤늦게 사실을 정정했다. KT는 지난 11일 피해 인원과 금액을 278명, 1억7000만원으로 발표했다가 한 주 만에 362명, 2억4000만원으로 바꿨다. 개인정보 유출 정황도 사고 초반에는 없다고 선을 그었으나 1차 브리핑에서는 5561명 고객의 국제이동가입자식별정보(IMSI) 유출을, 2차 브리핑에서는 IMSI를 포함한 국제단말기식별번호(IMEI)와 휴대폰 번호 추가 유출을 인정했다.
서버 유출 정황 또한 오락가락했다. KT는 2차 브리핑 당시 서버 유출은 없다고 설명했으나 하루 뒤 서버 침해 정황을 발견해 한국인터넷진흥원(KISA)에 신고했다.
경찰은 지난 1일 무산 소액결제 관련 사고를 KT에 통보한 바 있다. 하지만 KT는 5일 뒤인 6일부터 고객 보호조치를 실시했다. 조치가 늦어진 것에 대해 김 대표는 "(사건 초기 당시) 침해가 아니고 스미싱 현상으로 파악하고 있었다"며 "그런(은폐) 생각은 안 했다"고 설명했다.
현재 KT는 ARS 인증을 넘어 문자 메시지(SMS) 모든 소액결제 인증 방식을 대상으로 피해를 파악하고 있다. 황정아 더불어민주당 의원은 KT가 ARS 인증만을 기반으로 피해 규모를 조사하고 있다고 지적했다. 김 대표는 "분석에 시간이 걸려 일단 ARS 기반으로 분석한 것이고, SMS 등 전체 인증에 관한 데이터를 분석하고 있다"고 말했다.
김 대표는 사퇴 요구에 대해선 말을 아꼈다. 황 의원은 이날 김 대표에게 "대표직 연연하지 않고 이 사태에 책임진 후 내려오겠느냐"고 질문하자 "지금 그런 말씀을 드리긴 부적절하다. 우선 사태 해결에 최선을 다해야 한다"고 답했다.
과기정통부는 KT의 해킹 은폐 의혹과 관련해 고의성이 파악되면 경찰 수사 의뢰 조치를 취할 예정. 류제명 과기정통부 제2차관은 "KT의 서버 폐기 문제, 신고 지연에 대해 고의성이 있었는지 파악하는 대로 필요하면 경찰 수사 의뢰 등 강력 조치하겠다"고 강조했다. 이어 류 차관은 "일단 인증키는 유출되지 않은 것으로 KT가 신고했는데 (민관 합동 조사단) 조사를 하면서 철저히 들여다보겠다"고 말했다.
박수빈 한경닷컴 기자 waterbean@hankyung.com
관련뉴스
