KT 무단 소액결제 사건 용의자들이 체포돼 민관 합동조사와 경찰 수사에 탄력이 붙은 가운데 KT는 지난 6월 이후 소액결제 전수 조사를 통해 2만 명가량이 불법 초소형 기지국(펨토셀)에 접속했던 것을 확인했다. 피해자 수는 지난 11일 발표 때보다 64명 증가한 362명이고 피해금액은 2억 원을 넘긴 것으로 집계됐다.

구재형 KT 네트워크부문 네트워크기술본부장이 18일 서울 종로구 KT광화문빌딩에서 열린 KT 소액결제 피해 관련 대응 현황 발표 기자회견에서 허리 숙여 사과하고 있다. 연합뉴스

KT 무단 소액결제 사건의 피의자인 중국 국적 남성 A씨가 18일 구속 전 피의자 심문(영장실질심사)에 출석하기 위해 경기도 수원영통경찰서 유치장에서 나오고 있다. A 씨는 지난달 말부터 이달 초까지 불법 소형 기지국 장비를 승합차에 싣고 다니면서 수도권 특정 지역 KT 이용자들의 휴대전화를 해킹해 모바일 상품권 구매, 교통카드 충전 등의 소액 결제를 한 혐의를 받는다. 연합뉴스

KT는 지난 6월부터 ARS 인증을 거친 소액결제 건을 전수 조사한 결과 기존 상품권 소액결제 피해 외에도 교통카드 등 다른 유형의 소액결제 피해 사례를 추가로 확인했다고 18일 밝혔다. 피해자 수는 278명에서 362명으로, 누적 피해 금액은 2억4000만 원으로 집계됐다.

또 불법 초소형 기지국 ID 2개 외에 2개 ID를 더 확인했고 총 2만 명이 4개의 불법 초소형 기지국 신호를 수신했다는 게 KT 설명이다. 해당 기지국 ID를 통해 국제이동가입자식별정보(IMSI)와 국제단말기식별번호(IMEI), 휴대폰 번호가 유출된 정황도 확인했다. ISMI, IMEI는 SK텔레콤 해킹 사건 때 유심(가입자 식별 모듈)에서 SK텔레콤 메인 서버로 전송되는 주요 개인정보들이다.

소액결제 과정에서 필요한 고객 성명과 생년월일이 KT를 통해 유출된 정황은 확인되지 않았다. 또 유심정보 중 인증키는 유출되지 않아 복제폰 생성 가능성은 없다는 게 KT 설명이다. 그렇다면 범인들이 다른 곳에서 핸드폰 번호, 주민등록번호, 성명을 구해 이들 유출 정보와 결합했다는 뜻이 된다.

앞서 경기남부경찰청 사이버수사과는 지난 정보통신망법 위반(침해) 및 컴퓨터 등 사용 사기 혐의로 중국교포 A(48)씨를 체포했고 컴퓨터 등 사용 사기 및 범죄수익 은닉규제법 위반 혐의로 중국교포 B(44)씨를 지난 16일 긴급체포했다. A 씨는 지난달 말부터 이달 초까지 불법 소형 기지국 장비를 승합차에 싣고 다니면서 수도권 특정 지역 KT 이용자 휴대전화를 해킹해 모바일 상품권 구매, 교통카드 충전 등 소액 결제를 한 혐의를 받는다.

한편 롯데카드는 18일 해킹 공격으로 297만 명 고객 정보가 유출됐다고 밝혔다. 조좌진 롯데카드 대표는 이날 오후 서울 중구 부영태평빌딩에서 기자회견을 열어 “고객 여러분과 유관 기관 여러분께 심려를 끼쳐 진심으로 죄송하다”며 이같이 밝혔다. 롯데카드는 약 960만 명의 회원을 보유한 업계 5위권 카드회사로, 전체 약 3분의 1에 가까운 회원 정보가 유출된 셈이다. 조 대표는 “카드 부정 사용이 발생할 가능성이 있는 고객은 총 28만 명”이라며 “유출 정보 범위는 카드번호, 유효기간, CVC번호 등”이라고 말했다.