SKT 사태 촉발한 악성코드 발견…공격시점 유사, 감염 규모 더 커
합동조사단, 대규모 유출 가능성 배제…“신고하면 손해 신호” 지적

정부가 KT 서버 해킹 의혹을 두고 고객 개인정보 유출 여부는 “확인이 불가능하다”는 조사 결과를 내놓으면서 논란이 일고 있다.

KT 서버가 SK텔레콤과 동일한 악성코드에 감염됐던 점을 고려하면, 대규모 개인정보 유출 가능성을 배제하기 어렵다는 지적이 잇따른다.

30일 통신업계에 따르면 과학기술정보통신부 민관합동조사단이 발표한 ‘KT 침해사고 최종 조사결과’를 둘러싸고 결론의 적절성에 대한 의문이 이어지고 있다.

조사단은 전날 KT의 서버 94대의 악성코드 감염을 확인했으나 로그기록이 있는 최근 1~2개월 동안에는 개인정보가 유출되지 않았다는 조사 결과를 내놨다. 조사단은 그러면서 로그기록이 남아 있지 않은 기간에 대해서는 “유출 여부 확인이 불가능했다”고 밝혔다. 업계에선 “의혹을 해소하기보다 오히려 키운 결과”라는 평가가 나온다.

핵심 쟁점은 ‘BPF도어’ 악성코드 감염이다. BPF도어는 SK텔레콤 해킹 사태를 촉발한 악성코드로, KT 서버 41대는 2022년 4월2일부터 19일까지 BPF도어 악성코드 4종 등에 감염됐다.

SK텔레콤 해킹 사태에서 공격자가 BPF도어를 심은 시점은 2021년 12월24일~2022년 1월1일, 그리고 2022년 6월15~22일이다.

KT 서버에 심어진 악성코드와 같을 뿐만 아니라 공격 시점도 유사하다.

KT의 감염 규모가 SK텔레콤 사례를 뛰어넘는다는 점도 논란거리다. KT의 경우 94대의 서버에서 103종의 악성코드가 확인된 반면, SK텔레콤에선 28대의 서버에서 33종이 발견됐다. 통신업계 한 관계자는 “악성코드 규모를 볼 때 KT 서버에서도 정보가 유출됐다고 보는 게 더 상식적이지 않으냐”고 말했다.

KT 서버를 통한 개인정보 유출에 대해 ‘확인 불가’ 판정이 나오면서, 조사단이 확인한 KT의 개인정보 유출 범위는 불법 초소형 기지국(펨토셀)에 강제 접속된 피해자 2만2000여명의 전화번호·가입자식별번호·단말기식별번호로 제한됐다.

개인정보보호위원회가 향후 제재 수위 판단 과정에서 조사단과 같은 결론을 내릴 경우, 과징금은 SK텔레콤에 부과된 1348억원에 크게 못 미칠 수 있다.

김용대 카이스트(KAIST) 전기 및 전자공학부 교수는 페이스북에 “SK텔레콤은 침해 사실 인지 후 신고했고 사후 대응에서 정부와 공개 협조한 반면 KT와 LG유플러스는 증거 인멸 정황까지 제기됐다”면서 “제재와 관련해 잘못된 판단이 나오면 ‘투명하게 신고하고 (정부에) 협조하면 손해’라는 신호만 받게 되는 것 아니냐”고 지적했다.

한편 KT는 이날 해킹 사태와 관련해 위약금 면제 및 고객 보상안을 발표했다. KT는 지난 9월1일부터 내년 1월13일까지 계약을 해지했거나 해지할 고객에게 환급 방식으로 위약금을 면제하기로 했다. 아울러 6개월간 매달 100GB 데이터 등도 제공하기로 했다.