1276억 쓴 KT, ‘펨토셀 우회 접속’ 11개월간 왜 몰랐나

[마이데일리 = 박성규 기자] KT가 정보보호 분야에 1275억원을 투자하고도 불법 초소형 기지국인 펨토셀의 내부망 접속을 약 11개월간 차단하지 못한 것으로 나타났다. 장비 생애주기 관리 미비와 접근통제 시스템 부실이 주요 원인으로 지적된다.

31일 정보기술(IT)업계와 개인정보보호위원회에 따르면 불법 펨토셀은 2024년 10월 8일부터 지난해 9월 5일까지 KT 내부망에 우회 접속했다. KT는 지난해 9월 무단 소액결제 민원 접수 및 경찰 통보를 받은 직후 이상 접속을 확인하고 해당 경로를 차단했다.

◇ 정보보호 1276억 투자·인력 317명에도 핵심망 통제 실패

한국인터넷진흥원(KISA) 정보보호 공시를 보면 KT의 2025회계연도 정보보호 투자액은 1275억6485만원으로 전년보다 2% 늘었다. 정보보호 전담인력은 317명이며 이 가운데 KT 소속 내부 전문인력은 164명이다.

다만 전체 IT 투자액에서 정보보호 투자가 차지하는 비중은 6.3%로 통신 3사 가운데 가장 낮았다. LG유플러스는 7.7%, SK텔레콤과 SK브로드밴드는 합산 기준 약 6.7%였다.

투자액 비교에서는 사업 구조를 함께 봐야 한다. 단일 법인 기준으로 KT 투자액은 SK텔레콤 1111억원과 LG유플러스 966억원보다 많지만 유선사업을 담당하는 SK브로드밴드의 324억원을 더하면 SK텔레콤 계열의 투자액은 1435억원으로 KT를 웃돈다.

◇ 동일 인증서 10년 사용…IP·장비정보 검증도 없어

개인정보위가 밝힌 사고 원인은 유실 장비 관리 부실이다. 해커는 2019년 경기 북부 군부대에 설치됐다가 2020년 유실된 KT 펨토셀을 입수한 것으로 조사됐다. 해당 장비에서 인증서와 개인키를 추출해 자체 제작한 불법 펨토셀에 심은 뒤 KT 이동통신망에 접속했다.

당시 KT에 납품된 펨토셀은 모두 동일한 인증서를 사용했다. 인증서 유효기간도 10년으로 설정돼 한 번 KT망에 접속한 이력이 있는 장비는 유실된 뒤에도 내부망에 접근할 수 있었다. 장비 한 대가 유실되면서 전체 펨토셀 인증체계가 공격에 노출된 셈이다.

내부망 접속 과정의 검증 절차도 미흡했다. KT는 펨토셀이 자사 유선망을 통해 접속하는지 확인하지 않아 타사나 해외 IP를 통한 접근을 허용했다. 제품 고유번호와 설치지역 등 장비 형상정보도 등록 정보와 대조하지 않았다. 펨토셀 관리서버를 거치지 않고 내부망에 접속할 수 있는 우회 경로도 존재했다.

이로 인해 알뜰폰 가입자를 포함해 1만6647명의 이용자의 식별정보가 유출됐다. 이 가운데 368명이 약 2억4000만원의 무단 소액결제 피해를 입었다.

◇ 핵심 이동통신망은 ISMS-P 밖…4조 투자 시험대

외부 보안 인증 체계의 실효성도 과제로 떠올랐다. KT는 일부 IT서비스에 대해 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)을 받았지만 사고가 발생한 이동통신 네트워크 시스템은 인증 범위에서 제외했다.

개인정보위는 KT가 내부망에 대한 기본적인 접근통제 의무를 소홀히 했다고 판단해 과징금 539억7900만원과 시정명령을 의결하고 무선통신망 장비의 취약점 점검과 접근통제를 강화하고 ISMS-P 인증 범위를 이동통신 네트워크까지 확대하라고 권고했다.

KT는 사고 이후 펨토셀 인증서 유효기간을 10년에서 1개월로 줄이고 자사 유선 IP 이외의 접속을 차단했다. 장비 형상정보를 확인하고 펨토셀마다 별도의 인증서를 발급하는 조치도 시행했다.

향후 3년간 정보보안·IT 혁신에 4조원, 네트워크에 8조원 등 총 12조원을 투입할 계획이다. 제로트러스트 원칙에 따라 분산된 보안 거버넌스를 통합하고 보안 인력도 2배 이상 확대한다.

KT는 “개인정보위 처분 결과를 무겁게 받아들이며 개인정보보호 체계 전반을 원점에서 재정비하고 있다”며 “보안 투자 확대와 전사적 개인정보보호 역량 강화를 통해 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 밝혔다.

IT업계 관계자는 “보안 투자 총액이 크더라도 유실 장비의 인증서를 즉시 폐기하고 접속 경로와 권한을 실시간으로 검증하지 못하면 핵심망은 뚫릴 수 있다”며 “KT가 예고한 대규모 투자는 장비 관리와 접근통제 체계가 실제 현장에서 작동하는지로 평가받아야 한다”고 말했다.