해킹 사태 겪은 KT, 전체 이용자 대상 '위약금 면제' 결론

KT 해킹 사고가 당초 예상보다 악성코드 감염 규모가 컸던 것으로 확인됐다. 과학기술정보통신부 민관합동조사단 조사 결과, KT의 관리 부실과 과실이 인정돼 KT는 전 이용자 대상으로 위약금 면제 조치를 실시할 예정이다.

과학기술정보통신부 민관합동조사단이 29일 광화문 정부서울청사에서 발표한 KT·LG유플러스 침해사고 최종 조사 결과를 발표했다. 조사 결과 KT 해킹은 앞서 해킹이 발생한 SK텔레콤과 비교해 악성코드 종류·개수·감염 범위가 더 넓었다.

KT는 94대 서버에서 BPF도어, 루트킷 등 103종의 악성코드 감염이 확인됐다. 앞서 유심 해킹 사태를 겪었던 SK텔레콤은 28대 서버에서 BPF도어 계열 27종을 포함해 모두 33종의 악성코드 감염이 확인됐었다. 결과적으로 감염 서버 개수, 악성코드 종류 모두 SK텔레콤보다 많은 것으로 파악됐다.

KT에서는 실제 금전 피해도 발생했다. KT는 소액결제로 2억4000여만원 규모의 피해가 집계됐다.

개인정보 유출 측면에서는 SK텔레콤의 피해 규모가 더 컸다. SK텔레콤은 2300만명이 넘는 가입자 대부분의 전화번호, 가입자식별번호(IMSI), 유심 인증키(Ki·OPc) 등 25종의 개인정보가 유출됐지만 KT는 2만2000여명의 가입자식별번호(IMSI), IMEI, 전화번호 등이 유출된 것으로 파악됐다.

다만 KT는 서버 내부 파일접근 및 실행, 오류 등 동작을 기록하는 시스템로그 보관 기간이 1∼2개월에 불과해 로그기록이 남아있지 않은 기간에 대한 유출 여부는 확인이 불가능하다. 피해 정도를 단정하기는 어려운 한계가 있다.


KT는 전 이용자 위약금 면제 조치를 받게 됐다. KT 무단 소액결제 피해를 봤거나 개인정보가 유출된 가입자는 물론 피해가 확인되지 않은 가입자 또한 계약기간과 무관하게 위약금 없이 이동통신사를 이동할 수 있게 됐다. 다만 정부는 SK텔레콤 해킹 사태와 달리 KT에 신규 영업 정지 조치는 내리지 않았다.

조사단은 KT 이용약관에 규정된 '회사 귀책 사유로 이용자가 서비스를 해지할 경우 위약금을 면제한다'는 조항을 근거로 이번 해킹 사고가 위약금 면제 사유에 해당한다고 봤다. 조사단은 침해사고 과정에서 KT의 과실이 확인됐고, 안전한 통신서비스 제공이라는 계약상 주된 의무를 다하지 못했다고 판단했다. 그 결과 "특정 피해 고객에게 국한하지 않고 전체 이용자를 대상으로 약관상 위약금 면제 사유가 성립한다"고 결론 내렸다.

앞서 SK텔레콤의 위약금 면제 기간 동안 13만명가량이 이통사를 이탈한 바 있다. 다만 이통사를 넘어 금융·플랫폼·전자상거래 등 다양한 업종에서 보안 사고가 이어지면서 증폭된 피로감으로 가입자 이동이 제한적일 것이란 관측도 나온다.

KT 위약금 면제를 계기로 SK텔레콤이나 LG유플러스가 가입자 유치를 위한 공격적 마케팅에 가능성을 배제할 수 없다. 실제로 SK텔레콤 위약금 면제 당시 서울 구로구 신도림 휴대폰 집단 상가 일명 '성지'에서는 공짜폰을 넘어 보조금을 추가 지급하는 '차비폰'도 등장한 바 있다.

박수빈 한경닷컴 기자 waterbean@hankyung.com