최근 발생한 KT 가입자의 불법 소액 결제 피해자는 5000명을 넘어서는 것으로 나타났다. 경찰은 전문가 집단으로 추정되는 해커들이 특정 지역에서 초소형 이동식 기지국 장비(펨토셀)를 가지고 소액 결제를 하는 고객 정보를 탈취한 것으로 보고 수사 중이다.

KT 김영섭 대표이사를 임직원들은 11일 오후 서울 종로구 KT 광화문빌딩 웨스트 사옥에서 최근 발생한 소액결제 피해와 관련해 고개 숙여 사과했다. 왼쪽부터 서창석 KT 네트워크 부문장 부사장, 김 대표, 이현석 커스터머 부문장 부사장. 연합뉴스

KT 불법 결제 피해개요. 연합뉴스 그래픽

김영섭 KT 대표이사는 11일 오후 서울 광화문 사옥에서 기자회견을 열어 무단 소액결제 사태의 원인으로 주목되는 불법 초소형 기지국을 통해 이용자 5561명의 개인정보 유출 가능성을 확인하고 개인정보보호위원회에 신고했다고 밝혔다.

김 대표는 “최근 소액결제 피해 사고로 크나큰 불안과 심려를 끼쳐드린 점을 사과하기 위해 무거운 마음으로 섰다. 국민, 고객, 유관기관 여러분께 염려를 끼쳐 죄송하다. 피해 고객에게 머리 숙여 죄송하다는 말씀을 드린다”고 말했다.

그는 이어 “관계 당국과 사고 원인을 파악 중이며 모든 역량을 투입해 추가 피해가 일어나지 않도록 기술적 조치를 취하고 피해 고객에게 100% 보상책을 강구하겠다. 통신사로서 의무와 역할을 다하겠다”고 덧붙였다.

KT는 자체 조사 결과 불법 초소형 기지국을 통해 일부 이용자의 가입자식별정보(IMSI)가 유출된 정황을 확인했다. IMSI는 가입자마다 부여된 고유의 번호로 유심(USIM)에 저장되는 개인정보에 해당한다. SK텔레콤이 해커들로부터 탈취됐던 2300만 명 이상의 가입자 정보에도 IMSI가 포함됐었다. IMSI 등과 다른 개인정보를 결합시키면 금융기관 불법 결제가 가능하다. IMSI는 일종의 개인식별고유번호다.

KT는 지난 10일 무단 소액결제 피해자에게는 피해액을 청구하지 않겠다고 밝힌 바 있다. 당시 피해 금액은 최소 1억7000만 원으로 잠정 집계됐었지만 향후 늘어날 가능성도 있다.

현재까지 피해가 확인된 지역은 경기도 광명시 부천시, 서울 금천구 등 3곳이다. 인천 부평구, 경기 과천시, 서울 영등포구 등에서도 비슷한 피해가 발생한 것으로 알려져 피해 지역은 더 넓을 가능성도 배제할 수 있다. 해커들은 펨토셀을 특정 위치에 고정시키지 않고 차량 등으로 이동하면서 네트워크망으로 전달되는 개인정보를 가로채는 이른바 ‘워 드라이빙’ 방식을 사용한 것으로 추정된다.

앞서 경찰은 지난달 27일 최초 신고를 받은 이후 KT에 문의했지만 KT 측은 “KT는 (해킹에) 뚫릴 수가 없다” “(그와 같은 사건은) 발생할 수가 없다”는 등의 답변으로 일관한 것으로 전해져 초동 대처가 늦어졌다.

한편 KT는 12일 오후 이용자들에게 개인정보보호위 신고한 사실, 피해 사실 여부 조회 방법, 유심 교체 신청과 보호서비스 가입 링크에 대해 문자 메시지로 안내했다. KT는 불법 초소형 기지국 신호 수신 이력이 있는 이용자 전원의 유심을 무료 교체하고 유심 보호 서비스를 제공할 방침이다.