Menu
NO.1: 룰렛 프리미엄 위스키 디시
무단 소액결제 사고 최종 조사 결과 발표 케이티 대리점.연합뉴스 
과학기술정보통신부가 지난 9월 발생 사실이 알려진 케이티(KT) 무단 소액결제 사고와 관련해 번호이동이나 서비스를 해지하려는 전 고객을 대상으로 위약금 면제가 가능하다고 결론 내렸다.케이티의 총체적인 펨토셀(초소형 기지국) 관리 부실이 사고 원인인 만큼,케이티가 안전한 통신서비스를 제공해야 할 의무를 위반했다고 판단한 것이다.케이티는 조만간 전 고객 대상 위약금 면제안을 포함한 고객 보상안을 발표할 것으로 보인다.
케이티와 엘지유플러스(LG U+) 침해사고를 조사한 민관합동조사단은 29일 서울 광화문 정부서울청사에서 이런 내용의 최종 조사 결과를 발표했다.내용을 보면,조사단은 지난 8~9월 케이티에서 발생한 무단 소액결제 사고의 원인으로 케이티의 펨토셀 보안 관리 부실에 따른 불법 펨토셀 접속 허용으로 판단했다.또한 불법 펨토셀에 의해 암호화가 해제되면서 통화와 문자 등 결제 인증 정보가 탈취될 수 있다는 점도 확인했다.
과기정통부는 케이티의 과실이 발견된 점을 고려해 케이티가 전체 이용자를 대상으로 위약금을 면제해야 한다고 판단했다.과기정통부는 앞서 지난 7월 에스케이텔레콤(SKT) 침해사고 조사 결과 발표에서도 같은 판단을 내리며 위약금 면제 결정을 내린 바 있다.
케이티가 위약금 면제 결정을 받지 않을 가능성은 희박하다.케이티가 과기정통부의 결정을 받아들이지 않을 경우 과기정통부는 펨토셀 관리에서 드러난 법령 위반 사항 등을 들어 전기통신사업법에 따라 시정명령을 요구하고,룰렛 프리미엄 위스키 디시사업자 등록취소도 검토할 수 있다.케이티는 현재 전 고객 대상 위약금 면제안과 보상안 등을 검토하고 있으며 조만간 이를 발표할 것으로 알려졌다.지난 4월 대규모 유출 사고가 발생했던 에스케이텔레콤은 지난 7월4일 정부 브리핑 직후 위약금 면제 및 보상안을 발표한 바 있다.
이날 민관합동조사단이 밝힌 케이티 무단 소액결제 사고의 피해 현황은 지난 10월17일 케이티가 발표한 가입자 식별번호(IMSI) 등 정보유출 2만2227명,소액결제 피해자 368명,피해액 2억4300만원에서 더 늘지는 않았다.케이티 기지국 접속기록 4조3백억건과 통신결제대행 기록 1억5천만건 등을 분석한 결과다.
다만 케이티가 정부에 신고하지 않고 자체 처리했다가 이번 조사 과정에서 뒤늦게 적발된 케이티 악성코드 감염 서버는 중간조사 시점 43대에서 최종 94대로 늘었다.조사단은 케이티 전체 서버 점검과 감염서버 포렌식을 통해 총 94대의 서버가 비피에프도어(BPFDoor∙공격자만 드나들 수 있는 일종의 숨겨진 뒷문) 등 악성코드 103종에 감염됐음을 확인했다.로그(기록) 분석 결과 정보 유출 정황은 없었다.조사단은 “케이티가 주요 시스템에 대해 보안장비 없이 운영해 로그 분석에 한계가 있었다”며 “로그 기록이 남아있지 않은 기간에 대한 유출 여부 확인은 불가능했다”고 밝혔다.
한편 조사단은 지난 8월 미국 보안 전문지 프랙(Phrack)을 통해 제기된 엘지유플러스 해킹 의혹과 관련해 실제로 해당 기업의 서버 계정 정보와 임직원 성명 등의 정보가 유출된 사실을 확인했다.다만 엘지유플러스가 관련 서버 운영체제(OS)를 재설치하고 폐기해 조사는 불가능했다고 밝혔다.조사단은 해당 사항에 대해 지난 9일 공무집행 방해로 경찰에 수사를 의뢰했다고 설명했다.엘지유플러스 측은 “경찰 수사에 성실히 임하겠다”고 했다.
