KT '서버 해킹' 추가 실토…"개인정보 유출 여부 조사 중" [일문일답] 

[이코노믹데일리] 류제명 과기정통부 2차관은 19일 정부서울청사에서 열린 합동 브리핑에서 “어젯밤 KT는 외부 전문기업의 보안 점검 결과를 통해 추가적인 침해사고가 있었다는 사실을 인지하고 정부에 신고했다”고 밝혔다. 그는 “민관합동조사단은 소액결제 침해사고와 함께 새롭게 접수된 침해사고 최근 해킹 조직의 주장 등 국민들이 불안해하는 사안에 대해 사실관계를 신속하게 파악해 공개하겠다”고 덧붙였다.

KT의 이번 추가 신고는 불과 몇 시간 전인 18일 오후 소액결제 피해 규모가 362명·2억4000만원으로 늘었다고 발표한 2차 브리핑 직후에 이루어졌다. 당시 브리핑에서도 KT는 서버 침해 가능성은 부인한 바 있다.

이에 대해 구재형 KT 네트워크기술본부장은 브리핑에서 “이 서버 점검은 CISO(최고보안책임자) 쪽에서 별도의 과제로 4개월 동안 진행되고 있었다. (소액결제 침해 건과) 상호 간 연결성이 없다 보니 저희도 어제 저녁에 그 내용을 알게 됐다. 어제 KT 브리핑 전에 이 사실을 알았던 상황은 아니다”라고 해명했지만 조직 내 소통 부재와 난맥상을 스스로 인정한 꼴이 됐다.

잇따른 대형 보안 사고에 정부는 ‘엄중하고 무겁게’ 상황을 인식하고 있다고 밝혔다. 류제명 2차관은 현행 보안 체계 전반을 원점에서 재검토하고 기업의 지연·미신고 시 처벌을 강화하며 정부 직권조사를 제도화하겠다고 밝혔다. 권대영 금융위 부위원장 역시 롯데카드 사태를 언급하며 징벌적 과징금 도입과 CEO 책임 강화를 신속히 추진하겠다고 말했다.

◆ 정부 합동 브리핑 [일문일답] 

Q. KT 서버 침해 흔적 4건과 의심 정황 2건. 어떤 상황인가.
A. (류제명 과기정통부 2차관) 어제밤 23시57분에 KISA에 KT가 침해 사고를 신고했다. KT 설명에 따르면 KT는 지난 5월부터 올해 4월에 발생한 SK텔레콤의 침해사고 발생 직후 자사 통신망 안전성 여부를 파악하기 위해서 외부 전문 보안업체를 통해 보안 점검을 실시했다고 한다. 5월부터 9월15일까지 진행된 보안 점검 결과보고서를 KT가 접수 받았고 그 내용을 자체 검토하고 분석한 후에 어제밤 보안 침해 사고가 있었다는 사실을 신고하게 됐다고 밝혔다. 민관합동조사단은 이 사실까지 포함해 면밀하게 들여다볼 계획이다.

Q. 어제(18일) 진행된 KT 간담회에서 KT는 이같은 내용은 밝히지 않았는데.
A. (구재형 KT 네트워크기술본부장) 이 서버 점검은 저희 쪽에 CISO(최고보안책임자) 쪽에서 별도의 과제로 4개월 동안 진행되고 있었다. (소액결제 침해 건과) 상호 간 연결성이 없다 보니 저희도 어제 저녁에 그 내용을 알게 됐다. 어제 KT 브리핑 전에 이 사실을 알았던 상황은 아니다.

Q. KT 어느 서버에 침투한 정황이 불거진 것인지?
A. (이동근 한국인터넷진흥원 디지털위협대응본부장) 관련 자료를 KT로부터 제출받고 세부 분석에 들어가야 된다. 지금 밝히기는 어렵다.

Q. 국제 해킹 조직의 SK텔레콤 고객 데이터 탈취 주장과 관련해 과기정통부는 진위 조사 계획을 밝힌 바 있다. 티맵 관련 정보라는 이야기도 있는데 사실인지. 사실일 경우 정부 측에 침해 신고는 이뤄졌는지?
A. (이동근 본부장) 이슈를 접하고 SK텔레콤 현장에 가서 데이터 정합성 등을 확인했다. 일단 SK텔레콤 데이터는 아닌 것으로 확인됐다. 티맵과 관련된 정보가 식별이 됐다. 티맵 측에 통보했다. 아직 침해 사고 신고는 접수되지 않은 상황이다.

Q. KT 소액결제 침해 사고 관련 용의자가 검거됐다. 용의자를 통해 유출 경위 등 추가 확인된 내용은 없는지. 세컨폰을 만들었을 가능성은.
A. (류제명 차관) 아직까지 확인된 바는 없다. 세컨폰 관련된 부분도 조사 내용에 대해서는 구체적으로 확인해드리기 어렵다.

Q. 최근 AX(AI 전환)가 빠르게 진행되고 있다. 기업들이 투자할 때 우선순위에 보안에 없었던 것 아닌가.
A. (류제명 차관) 기업들의 투자가 적절한지 여부에 대해서는 일정한 기준은 없다. 현재 보안상태에 대한 점검을 통해 미비점을 보완할 수 있는 정보보호 투자를 적극적으로 유도해 나갈 생각이다. 회사 내부적인 보안 거버넌스도 정보 보호 체계가 확실히 개선될 수 있는 의사결정 구조를 만들 수 있도록 기업들과 소통하며 고쳐나갈 계획이다.

Q. LG유플러스는 문제가 없나.
A. (류제명 차관) 특정한 회사의 특별한 정황 없이 말씀드리는 건 조심스럽다. 다만 현재로서는 침해 정황이나 이런 것들은 아직 확인되지 않았다. 지난번 SK텔레콤 점검 과정에서 KT와 LG유플러스에 대한 강도 있는 조사를 진행했다. SK텔레콤은 사고가 난 당사자로서 모든 서버를 여섯 차례에 걸쳐 점검하는 과정을 거쳤다. KT나 LG유플러스는 전면적인 조사를 진행할 수 있는 물리적인 여건이나 상황이 안 됐다. 보안 상태 전반에 대해서 집중 점검한 것은 아니였지만 당시 전수조사 결과에 따르면 양사는 SK텔레콤에서 발견된 것과 같은 악성코드는 발견되지 않았다.

Q. 롯데카드는 2014년에도 2000만건 이상 정보 유출 사고가 있었다. 보안이 미흡한 것인가.
A. (권대영 금융위 부위원장) 이번에 롯데카드가 발생했다. 그동안 보안에 대해 소홀했거나 제도를 잘 지키지 않았는지 등은 감독원이 확인하고 있다. 정확하게 확인한 뒤 부족한 부분이 확인된다면 엄중하게 제재하겠다는 방침을 갖고 있다. 검사 결과 등을 종합적으로 보면서 제재를 할 것인지 제도를 개선할 것인지 등을 검토하겠다.

Q. KT 소액결제 수단 중 기존 상품권 외 교통카드 등 추가 확인된 피해 유형은.
A. (구재형 본부장) 소액결제 관련해서는 대부분 ARS 결제였다. 교통카드는 미세했다. 정확한 금액은 확인 후 말씀드리겠다.

Q. CISO, CPO 겸직이 문제라는 지적도 있는데.
A. (류제명 차관) CISO, CPO 겸직이 문제라는 지적에 대해 저희들도 여러 의견을 듣고 있다. 기본적으로 CISO가 사업부에 소속되거나 영향에서 벗어나서 CEO 직속으로 이사회에 독립적인 보고가 가능한 회사 전체적으로 내부적인 시스템에 대해 견제자 역할을 충분히 할 수 있는 독립적 의사결정 구조가 필요하다는 문제의식은 갖고 있다.

Q. 과기정통부와 금융위가 함께 준비하는 구체적인 대책은.
A. (류제명 차관) 통신과 금융, 일상생활에 많은 영향이 있는 두 부분에서 해킹사고가 이어졌기에 금융위와 과기부가 공동브리핑을 진행하게 됐다. 국가안보실 중심으로 두 부처 외에도 국정원, 개인정보보호위원회 관련 부서들이 함께 논의 중이다. 종합적 국가 대책은 국가안보실 중심 관계부처 회의를 통해 종합적 대책 또는 분야별 대책을 함께 강구하고 있다.