KT 이동통신 기지국으로 위장한 불법 '초소형 기지국(펨토셀)' 장비를 설치해 KT 가입자의 개인정보를 빼가는 해킹 시도가 최소 1년 전부터 시작됐고, 불법 펨토셀 접속이 수도권 외 강원 지역에서도 발생했지만 KT는 몰랐던 것으로 드러났다. 무단 소액결제는 자동응답전화(ARS) 인증 외 문자메시지(SMS) 인증을 통해서도 이뤄졌고, 무단 결제 피해자도 6명이 추가로 확인됐다. KT는 17일 서울 종로구 광화문 사옥에서 기자회견을 열고 이 같 퇴직금 3개월 은 내용의 소액결제 피해 관련 전수조사 결과를 발표했다. 앞서 KT는 6월 1일부터 9월 10일까지 발생한 소액결제 2,267만 건을 조사해 피해 규모를 내놓은 바 있다. 다만 조사 대상 기간이 3개월에 불과하고, 범위 또한 ARS 인증 결제에만 국한돼 "KT가 사태를 과소평가하고 있다"는 비판이 쏟아졌다. 이에 최근 13개월간(2024년 8월 1일~올해 미국취업정보 9월 10일) 발생한 △휴대전화와 기지국 간 접속 이력 4조300억 건 △통신과금대행 결제내역 1억5,000만 건을 전수조사해 결과를 내놓은 것이다.
KT, 위약금 면제 여부 질문엔 "…"
김영섭 KT 대표이사가 9월 24일 국회 과학 대출받아 기술정보방송통신위원회에서 열린 대규모 해킹사고 관련 청문회에 출석해 있다. 뉴스1
조사결과, 이 기간 자사 통신망에 접속한 불법 펨토셀 아이디는 기존 4개에서 16개가 추가 발견돼 총 20개로 확인됐다. 불법 펨토셀에 접속한 이력이 있는 고객 또한 2,197명 늘어난 2만2,227명으로 집계됐다. 신용조회회사 접속 범위도 서울·경기 등 기존에 알려진 피해 지역을 넘어 강원까지 확장됐다. KT는 이 '가짜' 기지국에 접속한 가입자의 가입자 식별 번호(IMSI) 등이 유출된 것으로 보고 있다. 서창석 네트워크부문장은 "개인정보 최초 유출 시점은 2024년 10월"이라고 했다. 개인정보 유출을 넘어 소액결제 피해를 입은 가입자(기존 362명)는 6 저소득층지원금 명이 추가돼 총 368명으로 집계됐다. 추가 피해자 6명의 소액결제 피해액은 319만 원으로, 이번 사건 총피해액(777건)은 2억4,000만여 원으로 늘어났다. 특히 ARS 외에 SMS 인증을 통해서도 무단 소액결제가 63건 이뤄진 것으로 나타났다. 다만 통신3사가 운영하는 패스(PASS) 인증이나, DCB결제(구글 플레이스토어 등 애플리케이션 마켓에서 콘텐츠 구매 시 통신 요금에 합산해 결제하는 방식)에서는 '이상' 결제가 발견되진 않았다. 서 부문장은 "최초 (소액결제) 피해는 기존 발표와 동일한 8월 5일이며, 9월 5일 차단 조치 이후에는 지금까지 피해가 없다"고 했다. 향후 피해 규모가 더 확대될 수 있다는 전망도 나온다. 2024년 8월 1일 이전 시점은 데이터가 존재하지 않아 KT가 피해 여부를 확인할 수 없기 때문이다. 실제 KT가 집계하는 소액결제 피해 규모는 1차 278명·1억7,000만 원(9월 11일)→2차 362명·2억4,000만 원(9월 18일) 등 발표를 거듭하며 계속 커지고 있다. 그럼에도 KT는 번호이동 위약금 면제 등 보상안에는 여전히 소극적이다. 김영걸 KT 서비스프로덕트본부장은 "(SK텔레콤 해킹 건과는) 피해 범위에서 차이가 있다"며 "민관 합동조사단 조사와 고객 피해 상황을 고려해 검토할 계획"이라고 했다. 박준석 기자 pjs@hankookilbo.com
