[현장] KT, 불법 기지국·소액결제 피해 2만명 넘겨…"작년 10월부터 개인정보 유출"

KT의 무단 소액결제 및 불법 기지국 접속 사태가 예상보다 광범위했던 것으로 드러났다. 회사 측은 처음으로 개인정보 유출 정황이 포착된 시점이 작년 10월로 파악됐다고 밝혔으며, 피해 대상 고객 수도 2만명을 넘겼다.

KT는 17일 서울 종로구 광화문빌딩 웨스트 사옥에서 브리핑을 열고, 전수 조사 결과를 발표했다.

서창석 KT 네트워크부문장은 "고객들께 불편을 끼친 점 다시 한 번 사과드린다"며 고개를 숙였다.

이번 조사는 작년 8월 1일부터 지난달 10일까지 13개월 동안의 통신과금대행 결제 내역 1억5000만 건과 전체 기지국 접속 기록 4조300억 건을 교차 분석한 결과다. 기존에는 소액결제 2200만 건과 ARS 인증만을 중심으로 분석했으나, 이번에는 SMS 인증, PASS 인증, DCB(Direct Carrier Billing) 결제까지 포함한 전수 조사로 범위를 넓혔다.

그 결과 불법 펨토셀(초소형 기지국) ID는 기존 4개에서 16개가 추가돼 총 20개로 늘었고, 해당 ID에 접속한 이력이 있는 고객 수는 총 2만2227명으로 확인됐다. 개인정보 유출 정황이 파악된 가입자도 2197명 늘었다. 개인정보는 이름, 생년월일, 성별, 휴대전화 번호 등으로, 결제 인증에 필요한 핵심 정보다.

피해 고객 수도 늘었다. 기존 362명에서 6명이 추가돼 총 368명이며, 무단 소액결제는 총 777건, 피해 금액은 319만원으로 집계됐다.

KT 측은 "결제 피해가 추가 발생한 지역은 안양이며, 수도권과 인접한 강원도 일부 지역에서도 불법 기지국 접속 이력이 확인됐다"고 전했다.

KT는 문제의 소액결제 발생 시점을 지난해 10월로 보고 있다. 또 지난 9월 5일 비정상 결제 시도를 차단한 이후로는 새로운 피해가 없었다고 설명했다. PASS 인증 및 DCB 결제에서는 이상 결제가 발생하지 않았다고 봤다.

구재형 네트워크기술본부장은 "한 대의 장비에 20개 이상의 펨토셀 ID를 사용하는 건 기술적으로 어렵다"며 추가 불법 장비 존재 여부에 대해선 "수사 결과를 기다리고 있다"고 했다.

KT는 추가 피해 고객에 대해 △3년간 안전안심보험 무료 제공 △유심 교체 및 보호 서비스 △보상 안내 문자 및 전화 고지를 진행 중이다.

다만 위약금 면제 여부에 대해선 "피해 상황과 조사 결과를 바탕으로 검토 중"이라는 입장을 유지했다.

한편 이날 브리핑에 참석한 모현철 정보보안담당 상무는 "침해 정황이 없는 서버는 내부 판단에 따라 삭제했으며, 의도적 폐기는 없었다"고 강조했다. 

불법 기지국에 대한 전수 조사 결과가 공식 발표됨에 따라, 향후 수사 방향과 제도 개선 논의에도 영향을 미칠 것으로 보인다. 과학기술정보통신부와 경찰은 해당 사건에 대해 수사 중이며, 개인정보보호위원회도 조사를 병행하고 있다.