[이코노믹데일리] 국회 과학기술정보방송통신위원회(이하 과방위) 소속 더불어민주당 위원들이 KT 해킹 사태 최종 조사 결과에 대해 "국가 기간통신망의 보안 관리가 구조적으로 붕괴된 심각한 사태"라고 규정하며 강도 높은 비판을 쏟아냈다. 야당은 이번 사태가 단순한 해킹 사고를 넘어 사업자의 기본 의무 위반에 해당한다고 보고 KT 전체 이용자를 대상으로 한 '위약금 없는 계약 해지'가 가능하다는 입장을 공식화했다.
29일 민주당 과방위 위원 일동은 과학기술정보통신부의 KT 및 LG유플러스 침해사고 최종 조사 결과 발표 직후 보도자료를 내고 이같이 밝혔다. 과방위는 이번 조사에서 KT의 보안 체계가 근본적으로 무너져 있었음이 확인됐다고 강조했다.
민주당 과방위 분석에 따르면 이번 사고의 핵심 원인은 불법 펨토셀(초소형 기지국)을 이용한 구조적 보안 취약점이다. 해커들은 불법 펨토셀을 통해 KT 내부망 접속에 필요한 인증서를 복제했고 이를 통해 이용자의 ARS 및 SMS 인증정보를 탈취해 무단 소액결제를 감행했다. 과방위 측은 "경찰의 불법 펨토셀 포렌식 결과 범인들이 인증서 서버 IP와 실제 통신 트래픽까지 캡처해 외부로 전송하는 기능을 탑재하고 있었음이 드러났다"고 설명했다.
특히 과방위는 통신 보안의 최후 보루인 암호화 체계가 무력화된 점을 심각하게 지적했다. 정상적인 상황이라면 단말기에서 코어망까지 유지돼야 할 종단간 암호화가 불법 펨토셀에 의해 해제되면서 결제 정보가 평문으로 전송됐다는 것이다. 민주당 의원들은 "일부 단말기(아이폰 16 이하)의 경우 암호화 설정 자체가 지원되지 않아 문자 메시지가 평문으로 노출되는 등 위험천만한 구조가 방치돼 있었다"고 꼬집었다.
KT의 도덕적 해이와 은폐 시도에 대해서도 날 선 비판이 제기됐다. 조사 결과 KT는 3만3000대의 서버를 관리하면서 악성코드에 감염된 94대 서버와 103종의 악성코드를 장기간 인지하지 못했다. 심지어 일부 감염 사실을 인지하고도 정부에 신고하지 않았으며 침해 정황이 담긴 서버를 무단 폐기하고 관련 사실을 허위로 제출해 정부 조사를 방해한 혐의까지 포착됐다. 이에 대해 과방위는 "미신고 및 지연 신고에 대한 과태료 부과는 물론 조사 방해 혐의에 대한 수사 의뢰는 당연한 수순"이라고 목소리를 높였다.
민주당 과방위는 이러한 사실관계를 종합해 KT가 이용자와 맺은 '안전한 통신서비스 제공'이라는 주된 계약 의무를 위반했다고 판단했다. 이에 따라 금전적 피해 발생 여부와 관계없이 KT 전체 이용자가 위약금 면제 대상이 될 수 있다고 결론 내렸다. 이는 특정 피해자 구제를 넘어 KT의 서비스 신뢰도가 회복 불가능한 수준으로 훼손됐다는 정치권의 판단이 작용한 것으로 풀이된다.
다만 야당은 위약금 면제가 사태의 종결이 아님을 분명히 했다. 민주당 위원들은 "KT는 위약금 면제의 적용 범위와 기간을 이용자 눈높이에 맞게 투명하게 제시해야 하며 형식적인 조치로 책임을 축소하려 해서는 안 된다"고 경고했다. 이어 △펨토셀 보안 체계 전면 재설계 △통신 암호화 무력화 방지 △정보보호최고책임자(CISO) 중심의 거버넌스 정상화 등 실질적인 재발 방지 대책을 즉각 이행할 것을 촉구했다.
국회 차원의 후속 입법도 예고됐다. 민주당 과방위는 "이번 사태를 계기로 침해사고 신고 의무의 실효성을 높이기 위한 법·제도 개선에 착수할 것"이라며 "특히 고의적인 미신고나 조사 방해 행위에 대한 제재를 강화하고 기간통신망 보안 관리에 대한 상시 점검 체계를 법제화하겠다"고 밝혔다. 최민희 위원장을 비롯한 민주당 위원들은 "통신사업자가 책임을 회피하지 못하도록 끝까지 감시하고 입법 활동을 지속해 나갈 것"이라고 강조했다.
Copyright © 이코노믹데일리, 무단전재·재배포 금지
