KT 로그인 후 고객번호 확인없이 정보 술술… 허술한 보안체계가 피해 키워

민관합동조사단 조사 결과 KT의 허술한 보안체계가 해킹 피해를 키운 것으로 드러났다. 개인정보 유출에 대한 KT의 책임론이 더 커질 것으로 보인다.

KT는 9자리로 된 고객서비스계약번호로 홈페이지에서 고객이 각종 정보를 확인할 수 있도록 했다. 문제는 임의의 아이디로 로그인을 하더라도 고객서비스계약번호만 일치하면 해당 고객의 정보를 볼 수 있었다는 점이다. 해커가 본인의 아이디와 패스워드로 KT 홈페이지에 로그인한 후 해킹 프로그램으로 고객서비스계약번호를 임의로 변경해도 해당 고객정보는 그대로 노출됐다. KT가 홈페이지를 구축하면서 고객서비스계약번호의 본인 여부를 검증하는 단계를 넣지 않았기 때문이다. 다른 이동통신사는 본인 아이디로 로그인하면 본인의 번호만 확인할 수 있었기 때문에 해커들이 다른 이용자의 정보를 빼낼 수 없었다.

KT는 고객서비스계약번호가 변조된 것인지도 확인하지 않았다. 이로 인해 해커들이 짧은 시간에 많은 정보를 빼내기 위해 자동화된 프로그램을 이용해도 이를 적발하기 힘들었다. 해커들이 최근 3개월간 접속한 기록만 1266만번이었다. 특정 인터넷 주소에서는 하루에 34만1000여건의 접속이 있었으나 KT는 이를 감지하지 못했다. 홍진배 미래창조과학부 정보보호정책과장은 “KT가 해커의 접속을 인지하지 못한 것이 맞다. 관리적인 문제는 추후 조사를 통해 파악할 것”이라고 말했다.

추가 정보 유출 가능성도 제기된다. 조사단은 KT에서 정보를 빼낸 해커들이 추가 해킹 프로그램으로 KT 홈페이지에 접속한 기록이 8만5999건 확인됐다고 밝혔다. 경찰 조사에 따르면 해커가 개발한 해킹프로그램은 2개이며, 개인정보 유출에는 파로스 프로그램을 활용한 해킹 프로그램이 사용됐다.

조사단은 KT가 운영하고 있는 9개 홈페이지가 가입자 확인을 하지 않고 개인정보를 조회할 수 있는 취약점이 있었다고 밝혔다. 어떤 홈페이지인지는 공개하지 않았다. KT는 “9개의 홈페이지가 아니라 KT 홈페이지 내 9개 메뉴이며, 현재는 부정 사용을 할 수 없도록 조취를 취했다”고 설명했다.

조사단은 이 같은 내용을 검찰, 경찰 및 방송통신위원회 등과 공유하고 KT에 보안조치를 취하도록 요청했다. 수사 당국은 추가 정보 유출 등을 파악하고 있다. 홍 과장은 “수사 결과에 따라 달라질 수 있다”며 개인정보 유출이 당초보다 더 많을 수도 있다는 입장이다. 미래부는 유사한 피해를 막기 위해 통신사와 포털 사이트, 쇼핑몰, 웹하드 등 개인정보 사용이 많은 업체에 취약점 점검 및 보안조치 강화를 요청했다.

김준엽 기자 snoopy@kmib.co.kr



GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지