이번에는 KT…또다시 통신회사의 해킹 악몽

프린트

오피니언 ㅣ 기자수첩 이번에는 KT…또다시 통신회사의 해킹 악몽 납득하기 어려운 초기 대응 그리고 말 바꾸고 뒤늦은 사과

기사입력2025-09-15 09:00

채민선 기자 (iscra79@junggi.co.kr) ㅣ다른기사보기

이번엔 KT다. SK텔레콤 해킹 사건의 충격이 채 가시기도 전에, KT가 무단 소액결제와 개인정보 유출 사태로 대국민 사과문을 내놨다. 불과 하루 전까지만 해도 “개인정보 유출은 없다”던 입장은 돌연 뒤집혔다.

지난 8월 말부터 광명·금천·부천을 중심으로 KT 가입자들의 휴대전화에서 동의 없는 소액결제가 잇따라 발생했다. 피해자들은 한결같이 “인증 문자를 입력하지 않았다”, “ARS에 응답한 적 없다”, “스미싱 링크를 누른 사실도 없다”고 호소한다. 그럼에도 KT는 오히려 “사용자가 인증을 입력했다”는 해명을 반복하며 책임을 회피하는 듯한 태도를 보였다.

그러다 11일, KT는 결국 개인정보 유출 사실을 인정했다. 불법 초소형 기지국, 일명 ‘펨토셀’ 신호를 수신한 가입자 중 일부의 IMSI(가입자 식별번호)가 외부로 흘러나갔다는 것이다. 약 1만9000명 중 5561명의 정보가 유출 정황이 있는 것으로 드러났다. 하지만 IMSI만으로 소액결제를 유도할 수 있는지에 대해선 보안업계 내부에서도 고개를 갸웃한다. 소액결제에는 주민등록번호, 생년월일 등 보다 민감한 정보가 반드시 필요하기 때문이다.

문제는 KT의 대응이다. 해킹의 주범으로 ‘불법 펨토셀’을 지목했지만, 정작 실제 장비는 확보하지 못했다. 구체적인 해킹 경로나 인증 우회 수법도 오리무중이다. 피해자 보호와 보상 조치 역시 뒤늦었다. 피해자 중 상당수는 KT로부터 “우선 요금을 납부한 뒤 환불 여부를 논의하라”는 안내를 받았다고 토로한다. 피해자가 억울함을 호소하는 순간에도, 통신사는 절차와 규정 뒤에 숨어 시간을 벌고 있는 셈이다.

사건 발생 직후 KT가 보여준 초기 대응도 납득하기 어렵다. 피해 접수가 이어지는 상황에서 “개인정보 유출은 없다”는 입장만 반복하다가, 여론이 거세지자 하루 만에 말을 바꿨다. 보안 사고에서 ‘골든타임’은 조기 인지와 신속한 대응인데, KT는 이를 놓쳤다. 그 사이 피해 규모는 불어나고, 신뢰는 무너졌다.

과학기술정보통신부 민관합동조사단에 따르면 10일까지 확인된 피해만 278건, 금액은 1억7000여만 원에 달한다. 그러나 피해 규모는 빙산의 일각일 수 있다. 접수되지 않은 사례, 피해 사실조차 인지하지 못한 이용자들이 더 있을 가능성이 높다.

고도화되는 기술적 해킹 수법도 문제지만, 통신사의 ‘책임 구조’에 대한 고민이 필요해 보인다. 통신 3사의 보안 시스템은 이제 개별 기업의 문제가 아니라 국민 전체의 생활·금융 안전과 직결된다. 그런데도 보안 투자와 관리 체계는 여전히 허술하고, 사고가 터질 때마다 통신사는 “유출 없다”는 변명으로 시간을 벌다, 결국 사실을 인정하는 전형적인 패턴을 되풀이한다.

지금 필요한 것은 또 한 번의 사과문이 아니라, 통신 보안을 공공재로 보는 근본적인 인식 전환과 함께 그에 걸맞은 제도적 책임 체계다. 피해보상 절차의 법제화, 통신사 보안 의무 강화, 투명한 정보공개 의무 등 통신사의 보안 수준을 높이고 소비자 피해를 최소화할 대응 방안이 필요하다. 중기이코노미 채민선 기자