日 IT기업 보안 전문가 "KT 해킹, 신뢰받는 장비가 공격경로로 변한 사례"

[프라임경제] KT 초소형 기지국(펨토셀) 개인정보 유출 사고의 본질이 단순한 장비 취약점이 아니라 장비와 인증서 등 '기계 신원(machine identity)'을 제대로 관리하지 못한 데 있다는 해외 사이버보안 전문가의 분석이 나왔다.

일본 IT 기업 MTI의 최고사이버리스크책임자(Chief Cyber Risk Officer) 유수프 푸르나(Yusuf Purna)는 최근 링크드인(LinkedIn)에 KT 사고에 대해 "장비 신원과 인증서 폐기, 자산 관리, 네트워크 모니터링이 엄격하게 관리되지 않을 경우 신뢰받는 인프라가 공격 경로가 될 수 있다는 점을 보여줬다"고 평가했다.

앞서 지난해 펨토셀을 통해 KT 이용자 1만6647명의 개인정보가 유출됐고, 총 368명이 약 2억4000만원의 무단 소액결제 피해를 봤다. 이에 개인정보보호위원회(이하 개인정보위)는 KT에 540억원의 과징금을 부과했다.

특히 푸르나는 △기계 신원 △인증서 △네트워크 장비 △임베디드 장비가 권한이 높은 관리자 계정과 비슷한 수준으로 통제해야 한다고 지적했다.

사람이 사용하는 관리자 계정을 퇴사·분실·이상접속 때 즉시 차단하듯이 통신망에 접속하는 장비와 인증서도 현재 정상적인 장비인지 지속적으로 검증해야 한다는 의미다.

KT 사고에서는 이같은 관리체계가 여러 단계에서 동시에 뚫린 것으로 나타났다. 

개인정보위 조사 결과 KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않아 타사나 해외 IP를 통한 접속도 가능하도록 운영했다.

펨토셀 관리서버를 우회할 수 있는 경로까지 존재했고, 비인가 셀(Cell) 아이디의 이상 접속을 탐지·대응하는 체계도 갖추지 않았다.

결국 공격자는 유실된 KT 소유 펨토셀의 인증정보를 복제해 불법 장비에 적용했다. 해당 장비는 2024년 10월8일부터 2025년 9월5일까지 약 11개월간 KT 내부망에 접속할 수 있었다. 

KT는 회사 내부 모니터링이 아닌 고객들의 무단 소액결제 피해 신고 등이 나온 뒤에야 비정상 접속 사실을 파악했다.

푸르나는 이러한 사례를 두고 암호화돼 있고 기술적으로 유효한 인증정보를 갖고 있다는 사실만으로 장비를 신뢰해서는 안 된다고 강조했다.

인증서 자체가 정상이어도 해당 인증서를 사용하는 장비가 현재 승인된 장비인지, 허용된 경로로 접속하는지, 원래 목적과 맞는 행위를 하는지를 지속적으로 확인해야 한다는 것이다.

재발 방지를 위해서는 장기간 유지되는 인증서의 수명을 단축하고 분실 장비의 인증서를 신속히 폐기하는 한편, 장비 자체에 귀속되는 강력한 인증체계와 전체 자산목록 관리가 필요하다고 제안했다. 

사고 발생 뒤에는 로그를 임의로 삭제·변경할 수 없도록 변조방지 로깅을 적용하고 증거보존 절차와 독립적인 사고 대응 감독체계를 갖춰야 한다고도 지적했다.

KT의 경우 실제 사고 이후 증거 관리에서도 문제가 드러났다. 

개인정보위는 KT가 악성코드 감염 사실을 신고하지 않고 일부 감염 서버의 로그를 삭제했으며 조사 과정에서 사실과 다른 자료를 제출하고 진술을 번복했다고 판단해 KT 법인을 고발하기로 결정했다.

푸르나는 "539억7900만원의 과징금은 부적절한 보안 보호조치가 얼마나 큰 재정적·규제적·법적·평판상 부담으로 이어질 수 있는지를 보여준다"면서 "규제기관은 사고 이전에 마련돼 있던 통제 조치뿐 아니라 사고 이후 조직의 대응 과정에서 나타난 진실성과 신뢰성 역시 평가한다"고 강조했다.