| 한스경제=박정현 기자 | 김영섭 KT 대표는 "예기치 못한 사고를 저질러 고객뿐 아니라 전 국민께 불안과 걱정, 심려를 끼쳐 죄송하게 생각한다"며 "(KT의 설명이) 축소·은폐로 보일 수 있다고 생각하지만 확인되는 대로 추가 공개하다 보니 그렇게 됐다”고 말했다.

국회 과학기술정보방송통신위원회는 24일 통신·금융 대규모 해킹사고에 대한 청문회를 열어 김 대표를 상대로 KT의 피해 범위 축소, 입장 번복, 서버 폐기 은폐 의혹, 펨토셀 관리 부실 문제를 집중 추궁했다. 

국회 과방위 자료에 따르면 KT는 해킹 사고 초기 보고 내용을 다섯 번이나 수정했다. 황정아 더불어민주당 의원은 “피해 규모와 시점을 숨기고 은폐·축소만 반복했다”고 비판했다.

KT는 지난 7월 9일 서버 침해 정황을 인지했음에도 19일 한국인터넷진흥원(KISA)의 통보 직후인 21일 “침해 정황이 없다”고 회신했다. 이어 8월 12일 KISA가 서버 제출을 요구했지만 내지 않았고, 13일 해당 서버를 폐기했다. 9월 9일에는 과기정통부에 “해킹 및 유심 정보 유출이 없다”고 보고했으나, 개인정보보호위원회가 조사 착수를 발표하자 10일 부랴부랴 신고했다.

결국 11일 국제이동가입자식별정보(IMSI) 5561건 유출을 인정했고, 18일에는 국제단말기식별번호(IMEI)와 휴대전화 번호까지 빠져나갔다고 시인했다. 피해 규모도 278명에서 362명으로 늘려 발표했다. 소액결제 피해와 관련해서도 “ARS 피해 위주”라던 초기 설명을 뒤집고 “SMS 결제까지 파악 중”이라고 말을 바꿨다.

황정아 의원은 “구멍가게가 털려도 이렇게는 안 한다. 숨기는 정황이 더 있는 것 아니냐”고 추궁했다. 김 대표는 “초기에는 ARS 피해 위주였고 현재는 SMS·PASS 인증까지 분석 중”이라고 해명했다.

황태선 KT 정보보안실장도 “외부 용역업체와 내부 보안팀이 두 차례 검증했으나 침해 흔적이 없다는 보고를 받아 그대로 회신했다”며 “인증서 유출 관련 의심 정황은 1건 있었다”고 말했다.

KT가 구형 서버를 폐기한 행위는 증거인멸 의혹으로 이어졌다. 황 실장은 “백업 로그가 남아 있는 사실은 9월 15일에야 알았다”며 “18일 임원회의에서 공유했고 22일 자료를 제출했다”고 해명했다.

류제명 과기정통부 2차관은 “7월 19일 확인된 해킹 정황이 8월 폐기된 서버와 연관돼 있다”며 “소액결제 사고와의 연관성 여부도 조사가 필요하다고 본다”고 밝혔다.

그러면서 "서버 폐기나 신고 지연 등에 고의성이 있는지 파악하는 대로 필요시 경찰 수사 의뢰 등 강력히 조치하겠다”고 했다.

KT는 펨토셀 관리 부실도 인정했다. 김영섭 KT 대표는 “펨토셀 관리 부실을 인정한다”며 “해킹 기술이 고도화되는 것에 비해 망 안정성 확보를 위한 투자가 부족했다”고 시인했다.

이해민 조국혁신당 의원에 따르면 KT가 관리하는 펨토셀 가운데 가장 오래된 장비는 2016년 도입된 것으로 옥외 펨토는 2014년 도입돼 무선국으로 관리 중이다.

특히 펨토셀 인증서 유효기간이 10년으로 설정돼 한 번 접속하면 위치 확인이나 소프트웨어 점검 없이 장기간 망 접속이 가능했고 망이 폐기된 장비를 인식하지 못해 무한대로 불법 및 폐기 펨토셀이 연동될 가능성 높다.

이날 참고인으로 출석한 이종현 SK텔레콤 정보보호최고책임자(CISO) 부사장은 “SKT의 경우 3개월간 사용되지 않은 펨토셀은 삭제를 통해서 망에 붙지 못하도록 처리를 하고 있다”며 사용되지 않는 펨토셀을 모니터링한 뒤 접속이 없으면 망에서 완전히 삭제한다고 설명했다.

이날 청문회를 통해 드러난 KT의 잇단 입장 번복과 관리 부실이 해킹 사고 책임론을 더욱 키우고 있다.

특히 SKT 해킹 사태 직후 56만명이 KT로 이동하는 수혜를 누렸음에도 정작 자사 보안 역량이 취약했다는 사실이 드러나면서 국민 신뢰를 크게 잃은 상황이다.

현재 해킹 피해가 확대되는 상황에서 여론은 원인 규명과 피해 보상안에 쏠려 있지만 이날 청문회에서 명확한 피해 보상은 언급되지 않았고 위약금 면제 관련해서도 거론되지 않았다.

이해민 의원이 단말기식별정보(IMEI) 유출의 심각성을 지적하며 “기기 위약금 면제를 피하려면 기기 변경 지원이 필요하다”고 압박하자 김 대표는 “소액결제 해킹 사고 결과의 추이를 지켜보고 기기 변경 지원 여부를 결정하겠다”고 밝혔다. 다만 구체적 보상책과 연임 여부에 대해서는 답을 피했다.

김 대표는 “조직문화를 개선하고 책임 있는 임직원은 즉시 조치하겠다”며 재발 방지를 약속했다. KT는 펨토셀 관리를 고도화하고 사고 원인 규명에 최선을 다하겠다고 덧붙였다.

박정현 기자 awldp219@sporbiz.co.kr