KT 사용자 5561명의 개인(유심)정보가 불법 초소형 기지국을 통해 유출된 정황이 확인됐다. 전날까지 개인정보 유출 가능성에 선을 긋던 KT는 대국민 사과를 하고 위약금 면제 검토 등 대응책 마련에 나섰다.

◆“기존 망 연결된 적 있는 장비 추정” = KT는 11일 기자회견을 열어 이같은 자체 조사결과를 공개하고 개인정보보호위원회에 신고했다고 밝혔다.

김영섭 대표는 “국민과 고객, 유관기관 여러분께 염려를 끼쳐 죄송하고 피해 고객에게 머리 숙여 죄송하다는 말씀을 드린다”며 “관계 당국과 사고 원인을 파악 중이며 모든 역량을 투입해 추가 피해가 일어나지 않도록 기술적 조치를 취하고 피해 고객에게 100% 보상책을 강구하겠다”고 말했다.

KT는 피해 고객 과금 자료 분석 과정에서 불법 초소형 기지국의 존재를 확인, 한국인터넷진흥원(KISA)에 신고하고 신규 초소형 기지국 등록을 중단했다고 밝혔다.

KT가 민원 제기 고객들의 1년치 통신기록을 분석한 결과 불법 기지국 ID는 2개 발견됐다. 이 기지국들로부터 신호를 받은 고객은 약 1만9000여명, 이중 실제로 가입자식별번호(IMSI)까지 전송된 경우가 5561명이었다는 설명이다.

KT는 이들 기지국이 회사 체계를 따랐지만 관리망에는 등록되지 않은 점으로 미루어 “기존에 KT 망에 연결된 적 있는 장비로 추정하고 있다”고 밝혔다.

KT는 “(설치자가) 통신과 관련해 상당한 지식이 있는 인물이라는 점은 유추할 수 있는데, 내부자 여부는 아직 확인되지 않았다”며 “이 초소형 기지국의 실물을 본 것은 아니고, 소액결제 피해를 본 고객들의 과금 내역 중 기지국 아이디를 보고 차단하는 과정에서 유추한 것”이라고 설명했다.

또 “(기지국) ID는 삭제했는데 제품이 도용됐을 가능성을 분석하고 있다”며 “실제 운영 중인 장비의 경우 ID 등 관리체계가 정립돼 있고, 관리 시스템에 없는 장비는 개통되지 않도록 하는 조치도 이미 취했다”고 밝혔다.

통신사 이동을 원하는 고객을 대상으로 위약금을 면제할 계획이 있느냐는 질문에는 “그 부분도 보상 계획에 포함해 고객 입장에서 전향적으로 검토하겠다”며 긍정적으로 답했다.

KT는 이날 오후 개인정보 유출이 의심되는 이용자들에게 개인정보보호위에 신고한 사실과 피해 사실 여부 조회 방법, 유심 교체 신청 및 보호서비스 가입 링크에 대해 문자 메시지(SMS)로 안내했다.

KT는 불법 초소형 기지국 신호 수신 이력이 있는 이용자 전원의 유심을 무료 교체하고 유심 보호 서비스를 제공할 방침이다. KT는 충분한 유심 물량을 확보했다고 밝혔다.

KT 관계자는 “12일부터 소액결제 본인 인증에 생체 인증이 도입된 패스(PASS) 인증만 적용한다”며 “생체 인증을 기반으로 해 우려를 줄일 수 있다고 판단하고 있다”고 말했다.

◆별도 개인정보 유출 우려 높아져 = 이번 사건으로 소액결제 과정에서 통신사의 책임이 어디까지인지에 대한 논의가 수면위로 오를 것이라는 전망이 나온다. 그동안 소액결제를 둘러싼 소비자 분쟁에서 통신사들은 뒤로 빠져 수수료만 챙겼다는 비판을 받아왔기 때문이다.

‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 58조는 “통신 과금 서비스가 자기 의사에 반해 제공됐을 때 서비스 제공자(통신사)에게 정정을 요구할 수 있다”고 돼 있지만 소비자들이 통신사를 통해 소액결제 사고를 정정하기는 쉽지 않았다는 지적이다.

소액결제 사건이 △비정상적 카카오톡 로그아웃 △ARS 인증 우회 △애플 계정 피해 등 여러 유형으로 벌어지는 것과 관련, 이번 범행이 다크웹 등에서 확보한 별도의 개인정보와 불법 기지국 유출 정보가 결합돼 저질러지고 있는 게 아니냐는 우려도 커지고 있다.

한편 이재명 대통령은 11일 수석보좌관회의에서 “한 통신사에서 소액결제 해킹사건이 계속 발생하고 있다”며 “전모를 속히 확인하고 추가 피해 방지에 적극 나서야 한다”고 밝혔다.

이 대통령은 “일부에서 사건의 은폐축소 의혹도 제기되고 있는데, 이 또한 분명히 밝혀서 책임을 명확하게 물어야겠다”며 “소를 잃는 것도 문제지만 소 잃고도 외양간조차 안 고치는 건 더 심각한 문제”라고 지적했다.

이재걸·고성수·김형선 기자 claritas@naeil.com