KT 무단 소액결제, 1년 전 같은 수법 정황 포착

[이코노믹데일리] KT 무단 소액결제 사건을 수사해 온 경찰이 범인들이 이미 지난해 동일한 범죄를 시도했던 정황을 포착했다. 경찰은 이 과정에서 과거 KT가 장기간 공격을 받았던 'BPFDoor' 악성코드 사태와의 연관 가능성도 배제하지 않고 있다.

29일 경기남부경찰청 사이버수사과는 서울 정부종합청사에서 수사 결과를 발표하고 범인들이 지난해 5월 불법 기지국인 펨토셀을 운영하려다 실패한 이력이 확인됐다고 밝혔다.

경찰에 따르면 지난해 8~9월 차량에 불법 펨토셀 장비를 싣고 수도권 아파트 단지를 돌아다니며 KT 가입자 휴대전화를 해킹해 소액결제를 한 혐의로 구속된 한국계 중국인 A씨에 앞서 다른 공범들이 같은 수법의 범행을 시도한 것으로 나타났다. 이들은 이른바 워 드라이빙 방식으로 불법 펨토셀을 차량에 싣고 서울 전역을 이동했으나 장비가 정상 작동하지 않아 범행에 실패한 것으로 조사됐다.

당시 범행에 사용된 불법 펨토셀 장비는 지난해 4월 50대 한국인 B씨가 텔레그램을 통해 접촉한 상선의 지시로 전달받은 것이다. B씨는 500만원을 대가로 경기 남부 지역에서 장비를 수령한 뒤 운용에 나섰고 지인을 통해 20대 남성을 섭외해 5월 초부터 약 8일간 서울 전역을 돌며 장비를 가동하도록 했다.

이후 B씨는 일부 장비를 중국으로 보내고 나머지는 보관하다가 올해 6월 상선의 지시에 따라 한국계 중국인 C씨에게 전달했다. C씨는 중국인 상선으로부터 추가 펨토셀 장비와 노트북, 휴대전화를 받아 지난 7월 A씨에게 넘겼고 A씨는 이를 이용해 실제 범행에 나선 것으로 파악됐다.

A씨가 사용한 불법 펨토셀 장비는 펨토셀 2점, 라우터 5점, 지향성 안테나와 각종 부속품 등 총 31점에 달했다.
경찰은 범인들이 무단 소액결제에 필요한 가입자 개인정보를 언제, 어떻게 확보했는지를 핵심 쟁점으로 보고 있다. 현재로서는 KT가 지난 2022년 4월부터 지난해 4월까지 BPFDoor 악성코드 공격을 받는 과정에서 외부로 유출된 정보를 범인들이 입수했을 가능성이 거론된다.

BPFDoor는 중국 국가 배후 해커 조직이 제작한 악성코드로 알려져 있으며 감염된 KT 서버 43대 가운데에는 가입자 개인정보가 저장된 서버도 포함돼 있었던 것으로 조사됐다. 다만 경찰은 해당 악성코드 공격과 이번 사건의 직접적인 연관성에 대해서는 확인이 어렵다는 입장이다.

불법 펨토셀 장비 분석 결과에서는 KT 인증서와 인증 서버 IP, 셀 ID, 관리자 접속 IP, 패킷 전송 소프트웨어 등 다수의 전자정보가 발견됐다. 특히 확인된 KT 인증서는 지난 2019년 경기 북부의 한 군부대에 설치됐다가 이듬해 막사 이전 과정에서 유실된 펨토셀에 저장돼 있던 것으로 파악됐다. 경찰은 범인들이 이 유실 장비를 입수해 인증서를 악용한 것으로 보고 있다.

KT는 지난해 8월부터 올해 9월까지 통신결제 데이터 보관 기간을 기준으로 전수조사를 실시해 불법 펨토셀 ID 20개를 발견했다고 밝힌 바 있다. 경찰은 이 가운데 7개가 실제 범행에 사용된 것으로 판단했으며 나머지는 시험 운영 목적이었던 것으로 추정했다.

경찰은 이번 사건의 피해 지역이 경기 광명·과천·부천·고양과 서울 금천·동작·서초·영등포, 인천 등 9곳이며 피해자는 227명, 피해액은 약 1억4500만원에 달한다고 전했다. 이는 과학기술정보통신부가 발표한 피해 규모보다는 적지만 향후 사건 이관 과정에서 유사한 수준으로 늘어날 가능성이 있다고 설명했다.

경찰은 A씨를 포함해 장비 공급 및 운용 피의자 5명, 자금 세탁 피의자 3명, 대포폰 제공자 5명 등 총 13명을 검거했으며 이 중 5명을 구속했다.

경찰 관계자는 "미검 피의자 2명 중 A씨에게 범행을 지시한 중국인 상선은 인적사항을 특정해 인터폴 적색수배를 했으며 범행 대가를 A씨에게 전달한 송금책은 중국으로 출국한 것이 확인돼 수배 및 입국 시 통보조치했다"며 "해외에 거점을 두고 은신 중인 공범에 대해서도 끝까지 추적해 나가겠다"고 말했다.