김영섭 KT(030200) 대표가 무단 소액결제 피해 사건에 대해 고개 숙여 사과했다. KT는 사건 초반 개인정보 유출 가능성을 부인했지만 불법 초소형 기지국을 거친 해킹으로 인해 5516명의 주요 유심 정보가 유출된 정황이 끝내 확인됐다. KT는 피해 고객 전원을 대상으로 무료 유심 교체와 유심 보호 서비스 가입을 지원하고 번호이동에 따른 위약금을 면제하는 방안도 검토하기로 했다.
김영섭 대표는 11일 서울 종로구 KT 광화문빌딩 웨스트 사옥에서 열린 기자간담회에서 “최근 소액결제 피해 사고로 크나큰 불안과 심려를 끼쳐드린 점을 사과 드리고자 무거운 마음으로 이 자리에 섰다”며 “국민과 고객, 유관기관 여러분께 염려를 끼쳐 죄송하고 피해 고객에게 머리 숙여 죄송하다는 말씀을 드린다”고 밝혔다. 그러면서 “관계 당국과 사고 원인을 파악 중이며 모든 역량을 투입해 추가 피해가 일어나지 않도록 기술적 조치를 취하고 피해 고객에게 100% 보상책을 강구하겠다”며 “통신사로서 의무와 역할을 다하겠다”고 덧붙였다.
KT는 자체 조사 결과 2개의 불법 초소형 기지국을 통해 일부 이용자의 가입자식별정보(IMSI)가 유출된 정황을 이날 확인했다. 경찰이 이달 1일 KT에 소액결제 피해 사실을 처음 통보한 지 10일 만이다. IMSI는 가입자마다 부여된 고유의 번호로 유심(USIM)에 저장되는 개인정보에 해당한다. 불법 초소형 기지국의 신호 수신 이력이 있는 전체 이용자 1만9000명 중 IMSI 유출 가능성이 있는 것으로 확인된 경우가 5561명으로 파악됐다. KT는 이날 이 같은 유출 정황을 개인정보보호위원회에 신고했으며 KT 신고를 접수한 개인정보위 측은 “구체적인 유출 경위와 피해규모, 안전조치 의무 준수 여부 등을 확인할 예정”이라며 “법 위반 발견시 관련 법령에 따라 처분할 것”이라고 밝혔다.
IMSI 정보가 유출된 5561명에는 무단 소액결제 피해자로 KT가 집계한 278명이 포함된다. 1인당 피해액은 54만원이며 소액결제 피해자가 더 나온다면 수십명 정도가 추가될 것으로 예상된다. KT는 불법 초소형 기지국 신호 수신 이력이 있는 이용자 전원의 유심을 무료 교체하고 유심 보호 서비스를 제공할 방침이다. 충분한 유심 물량을 확보했다는 입장이다. 12일부터는 소액결제 본인 인증에 생체 인증이 도입된 패스(PASS) 인증만 적용하기로 했다.
KT는 일각에서 제기된 복제폰을 동원한 범죄 가능성에 대해선 선을 그었다. 구재형 KT 네트워크기술본부장은 “현재 자체 분석한 결과 불법 기기변경이나 복제폰 정황은 전혀 없다”면서 “복제폰이 나오기 위해서는 KT 내부 시스템에 해킹 사례가 있어야 하는데 최근 정보 합동 조사와 내부 조사에서 관련 해당 사항은 확인되지 않았다”고 말했다. 해커가 중앙 서버에 침투하지 않아도 보안이 취약한 특정 초소형 기지국을 악용해 IMSI를 탈취할 수 있었다는 얘기다. 구 본부장은 “펨토셀로 추정되는 초소형 기지국이 철거된 이후 해당 기지국 ID가 삭제돼 (KT의 관리 선상에서 벗어났고) 이후 해당 제품이 도용됐을 가능성이 있다”고 설명했다.
다만 추가 수사를 통해 밝혀져야 할 의문점도 여전히 남아 있다. 구 본부장은 KT 내부 직원 소행일 가능성에 대해선 “확인된 바 없다”면서도 “통신과 관련한 상당한 지식이 있다는 점은 분명하다”고 말했다. 또한 소액결제 인증에 필요한 이름이나 생년월일 등 정보가 초소형 기지국을 통해 유출될 수 없다는 점에서 이번 사건의 진상을 정확히 파악하기까진 다소 시일이 걸릴 것으로 전망된다. 구 본부장은 “결제가 완료되려면 이름이나 생년월일을 입력해야 하는 건데 어떻게 된 건지는 파악하지 못했다”면서 “초소형 기지국에서 유출될 수 없는 정보라 추가 수사가 필요한 부분”이라고 전했다.
< 저작권자 ⓒ 서울경제, 무단 전재 및 재배포 금지 >
coldmetal@sedaily.com
