지난 9월 KT 이용자들의 휴대폰에서 본인도 모르는 무단 소액결제가 발생하면서 시작된 KT 해킹 사태가 100일이 넘도록 정확한 피해 규모조차 파악되지 않은 채, KT가 은폐와 시간 끌기로 일관하고 있다는 비판이 거세다. 

특히 시민단체에서는 KT가 해킹 사실을 알고도 이를 축소·은폐하려 했으며, 심지어 증거가 될 수 있는 서버를 폐기했다는 목소리가 높다.

전 고객 정보 유출 가능성이 제기되는 상황에서도 이용자들은 2차 피해 위험조차 제대로 알지 못한 채 방치되고 있는 상황이다.

9월 무단 소액결제로 시작…해킹·도청·서버 폐기까지

KT 개인정보 유출 사태는 지난 9월 일부 이용자들이 본인도 모르는 사이 휴대폰에서 소액결제가 이뤄진 것을 발견하면서 수면 위로 떠올랐다.

곧이어 KT 서버가 해킹당했으며, 이용자들의 개인정보가 대규모로 유출됐다는 사실이 드러났다.

서울YMCA 시민중계실은 26일 발표한 자료에 따르면, KT는 전국에 설치된 펨토셀 기지국의 보안 관리에 심각한 허점을 보였다. 모든 기지국을 하나의 인증키로 통제하는 허술한 시스템을 운영했고, 문자 인증과 자동응답시스템(ARS) 인증 역시 해커가 쉽게 풀어낼 수 있는 상태였다는 것이다. 특히 아이폰 사용자들의 문자메시지는 암호화 자체가 되어 있지 않았던 것으로 드러났다.

민관합동조사단 조사 결과 악성코드에 감염된 서버 43대에는 성명, 휴대전화번호, 이메일 주소, 단말기 고유번호(IMEI) 등 민감한 개인정보가 보관되어 있었다. 단말기 고유번호와 가입자 식별번호(IMSI), 연락처, 성명, 이메일 등이 해커의 손에 넘어갔다는 것은 통화 내용까지 엿들을 수 있는 환경이 조성됐다는 의미다.

서울YMCA는 이를 두고 "개인의 일상과 사생활 전반이 해커에게 그대로 노출될 수 있었던 중대 사안"이라고 지적했다.

더욱 심각한 것은 서버를 폐기로 인해 정확한 피해 규모 파악이 사실상 불가능해졌다.

"2만 명 아닌 전 고객 정보 유출 가능성 높아"

서울YMCA는 "감염된 서버의 규모를 고려하면 현재까지 공개된 피해자 2만 명이 아니라 KT를 이용하는 모든 고객의 개인정보가 유출됐을 개연성이 크다"고 주장했다. 그러면서 "쿠팡 개인정보 유출 사건으로 사회적 관심이 분산된 틈을 타 민관합동조사단이 형식적 조사로 사건을 마무리하려는 것 아니냐는 의혹이 제기된다"고 비판했다.

또 서울YMCA는 "KT가 증거를 없애버린 상황에서 조사단이 '추가 유출을 찾아내지 못했다'는 식으로 결론을 내린다면 이는 정부가 제 역할을 하지 않은 것"이라며 "기업이 시간을 끌고 증거를 감추면 책임을 상당 부분 벗어날 수 있다는 나쁜 선례를 남기게 될 것"이라고 경고했다.

특히 쿠팡 사례를 거론하며 "쿠팡은 이미 핵심 관계자들의 국회 출석을 거부하고, 검증되지 않은 자체 조사 결과만 일방적으로 발표하면서 과기정통부와 조사단까지 무시하는 행태를 보이고 있다"며 "KT 사건 처리가 어떻게 되느냐에 따라 쿠팡도 같은 방식으로 대응할 것"이라고 지적했다.

신규 가입자도 위험 노출…정부는 방치

서울YMCA에 따르면 KT 해킹은 올해 국내에서 발생한 대형 개인정보 침해 사건 중 실제 금전 피해가 발생한 유일한 사례다. 그러나 사태 발생 100일이 지난 지금도 이용자들은 정확한 피해 규모와 2차 피해 위험, 보호조치에 대해 제대로 알지 못하고 있다.

더 큰 문제는 과학기술정보통신부와 방송통신위원회가 이런 상황에서도 KT의 신규 고객 모집을 중단시키지 않고 있다는 점이다.

기지국 보안 체계의 허점, 메시지 암호화 미비, 서버 보안 실패 등이 확인됐음에도 신규 가입자 모집은 계속되고 있어, 새로 가입하는 이용자들 역시 보안 위협에 그대로 노출되고 있다는 지적이다.

서울YMCA는 "과기정통부와 방통위는 해킹 경위에 대한 충분한 설명 없이 고객을 모집하는 행위를 즉각 중단시켜야 한다"며 "안전한 통신 환경이 확보될 때까지 신규 영업을 금지해야 한다"고 촉구했다.

이용자 84% "강력한 제재 필요"…위약금 부담에 해지도 못해

서울YMCA 시민중계실이 국회 과학기술정보방송통신위원회 소속 더불어민주당 이정헌 의원실과 함께 지난 22일 발표한 'KT·쿠팡 해킹 관련 이용자 인식조사' 결과는 국민들의 우려가 얼마나 큰지를 보여준다.

KT와 쿠팡 이용자의 85.4%가 잇따른 보안 사고로 인한 2차 피해 가능성이 높다고 답했다.

KT의 신규 고객 모집 중단이 필요하다는 응답은 67.4%였고, 전체 고객을 대상으로 한 위약금 면제가 필요하다는 의견은 83.3%에 달했다.

위약금 면제 기간은 90일 이상이어야 한다는 응답이 69.5%였으며, 정부의 강력한 제재 조치를 원하는 응답자는 84.0%였다.

서울YMCA는 "과거 SKT에서 유사한 사고가 발생했을 때는 전체 가입자의 유심 정보 유출 사실이 알려진 시점부터 87일 동안 위약금을 면제해줬다"며 "하지만 KT 가입자들은 아직도 자신이 도청 등 2차 피해의 잠재적 대상인지조차 제대로 파악하지 못한 채, 위약금이 두려워 통신사를 바꾸지도 못하고 불안과 불만 속에서 지내고 있다"고 비판했다.

KT의 귀책사유로 안전한 통신서비스를 제공받지 못했음에도 이용자들이 오히려 위약금 부담을 지고 있다는 것이다.

"정부의 엄정 제재 없으면 개인정보 반복적 위험 노출"

서울YMCA는 "정부가 미온적으로 대응하면 기업들은 '개인정보 침해 사고가 터지면 최대한 숨기고 시간을 끄는 게 답'이라는 잘못된 교훈을 얻게 될 것"이라며 "현재 쿠팡에서 보이는 무책임하고 비윤리적인 대응 방식이 다른 기업들에게도 확산될 위험이 크다"고 경고했다. 이어 "제대로 된 제재가 이뤄지지 않으면 국민 전체의 개인정보가 앞으로도 계속해서 위협받게 될 것"이라고 강조했다.

이에 서울YMCA는 정부를 향해 네 가지를 요구했다. 

첫째, 조사단은 악성코드에 감염된 서버가 관리하던 정보의 종류와 규모, 유출 가능성, 예상되는 2차 피해를 국민에게 충분히 공개해야 한다. 

둘째, KT는 전체 고객을 대상으로 충분한 기간 동안 위약금을 면제하여 이용자들이 자유롭게 통신사를 선택할 수 있도록 해야 한다. 

셋째, 정부는 KT의 보안 문제가 완전히 해결될 때까지 신규 영업을 중단하도록 행정지도해야 한다. 

넷째, 정부는 KT에 대한 엄중한 제재를 기준으로 삼아 쿠팡 사건에도 동일한 원칙을 적용해야 한다.

서울YMCA는 "KT에 대한 최종 조사 결과를 확인한 뒤, 필요하다면 정부의 대응 과정과 조사 결과에 대해 감사원에 공익감사를 청구하는 방안도 검토하겠다"고 밝혔다.