KT, 고객 5561명 IMSI 정보 유출…개인정보위 신고

[아이티데일리] 최근 무단 소액결제 피해가 발생 중인 KT에서 고객 개인정보까지 유출된 것으로 확인됐다.

KT 김영섭 대표는 11일 서울 종로구 광화문 웨스트 사옥에서 기자간담회를 열고 “불법 초소형 기지국의 신호 수신 이력이 있는 고객 중 가입자식별키(IMSI) 유출 가능성이 있는 것으로 확인된 고객은 총 5,561명”이라며 “이를 개인정보보호위원회에 신고했다”고 밝혔다.

IMSI는 통신사가 사용자를 고유하게 식별하기 위해 유심(USIM) 안에 저장하는 정보다. 국가코드, 통신사 코드, 개인고유번호로 구성된다.

통신사는 IMSI를 대조한 뒤 의심스러운 활동을 ‘비정상 인증 시도 차단 시스템(FDS)’으로 막는다. 하지만 불법 기지국은 IMSI을 탈취해 실제 사용자를 빙자함으로써 FDS를 피해갈 수 있다.

KT는 자체 조사를 통해 불법 초소형 기지국 2개의 신호를 수신한 적 있는 이용자 1만 9,000명을 파악했다. 그 가운데 5,561명에서 IMSI 유출 가능성이 확인됐다. 개인정보 유출이 의심되는 이용자에게 개인정보위 신고 사실과 피해 사실 여부 조회 방법 등을 문자 메시지로 안내했다.

이와 함께 불법 초소형 기지국 신호 수신 이력이 있는 이용자 전원의 유심을 무료 교체하고 유심 보호 서비스를 제공할 계획이다.

개인정보보호위원회는 KT의 유출 신고를 접수했으며 유출 경위 및 피해 규모, 안전조치 의무 준수 여부 등을 확인하고 법 위반 발견 시 관련 법령에 따라 처분할 예정이다.

개인정보위 조사와 별개로, 과학기술정보통신부와 한국인터넷진흥원(KISA)은 KT로부터 침해사고 신고를 받고 정보보호네트워크정책관을 단장으로 하는 민관합동조사단을 구성했다. 조사단은 현재 원인 파악을 위한 현장 조사에 착수한 상황이다.

조사 과정에서 KT 시스템에 등록되지 않은 불법 초소형 기지국(펨토셀)이 통신망에 접속한 사실이 확인됐다. 펨토셀은 상업시설이나 공공장소 내 통신·전파 음영 지역을 없애거나 통신량을 분산해 원활한 서비스를 제공하기 위해 쓰인다. 업계에서는 해커가 펨토셀을 통해 문자메시지나 자동응답시스템(ARS) 인증을 탈취했을 가능성을 추정하고 있다.

한편, KT 가입자를 노린 무단 소액결제 사건은 지난달 말 첫 피해 신고 이후 현재까지 총 278건에 달하며 피해 금액은 약 1억 7,000만 원에 이른다. 경기남부경찰청 사이버수사대에 따르면 지난 9일 기준 접수된 피해 사례는 경기 광명 73건, 서울 금천 45건, 경기 부천 6건 등으로 집계됐다.