정부가 대규모 해킹 사고 책임을 물어 KT에 전 이용자 대상 위약금 면제를 요구했다.

과학기술정보통신부는 29일 KT 침해 사고에 대한 최종 조사 결과를 발표하고, 이번 사고가 이용자에게 안전한 통신 서비스를 제공해야 할 사업자의 기본 의무를 위반한 사례라고 판단했다.

이에 따라 정부는 KT가 약관에 따라 전 이용자를 대상으로 위약금 면제 조치를 시행해야 한다는 입장을 밝혔다.

민관 합동 조사단이 KT 서버 3만3천여 대를 대상으로 6차례 점검한 결과, 서버 94대에서 총 103종의 악성코드가 발견됐다.

BPF도어, 루트킷, 디도스 공격형 코드 등이 포함됐으며, 일부 서버는 2022년부터 장기간 감염 상태였던 것으로 확인됐다.

이는 앞서 ‘역대급 해킹’으로 평가된 SK텔레콤 사고보다 감염 범위가 더 넓은 수준이다.

조사 과정에서는 KT가 지난해 3월 일부 감염 서버를 발견하고도 정부에 즉시 신고하지 않고 자체 조치로 마무리한 사실도 드러났다.

이로 인해 피해 규모와 침해 경로 파악이 지연됐다는 것이 조사단의 판단이다.

해킹과 함께 불법 초소형 기지국(펨토셀)을 통한 정보 탈취도 확인됐다.

국제이동가입자식별정보(IMSI)와 단말기 식별번호, 전화번호 등이 유출된 이용자는 2만2천여 명에 달했고, 무단 소액결제 피해도 발생했다.

조사단은 통신 과정에서 암호화가 해제되는 구조적 취약점으로 문자·통화 내용까지 유출될 가능성이 있었다고 밝혔다.

과기정통부는 이러한 보안 관리 미흡이 약관상 ‘회사의 귀책 사유’에 해당한다고 판단했다.

법률 자문 결과도 다수 기관에서 위약금 면제 적용이 가능하다는 의견을 제시했다. 정부는 KT가 과거 SKT 사례와 유사한 기준으로 위약금 면제를 시행할 것으로 보고 있다.

정부는 KT에 대해 보안 점검 체계 전면 개선과 재발 방지 대책을 요구했으며, 내년 1월까지 이행 계획을 제출받아 점검을 이어갈 방침이다.

차미경