Board

국회 과학기술정보통신위원회(과기정통위) 국정감사장은 '기본'과 '원칙'이 무너진 국내 양대 통신사의 민낯을 확인하는 자리였다. KT는 18만대가 넘는 초소형 기지국(펨토셀)에 '동일한 벤더키'를 사용한 정황을 추궁당하자, "허술하게 관리했다"며 관리 부실을 공식 시인했다. 또 LG유플러스는 '서버 폐기' 등 증거 인멸 의혹에 대해 "데이터 유출은 맞지만 침해는 아니다"라는 법리적·기술적 방어로 일관했다.

두 기업이 국감장에서 밝힌 공식 입장을 통해 보안이 최우선 가치가 아닌 '비용'이나 '책임 회피' 대상으로 여겨졌다는 사실이 드러나자 이 같은 업체 관행에 날 선 비판이 쏟아지고 있다.

◇ KT, '관리 부실'은 시인, '고의성'은 부인

KT가 직면한 가장 큰 쟁점은 '왜 KT만 뚫렸는가?'였다. 이해민 조국혁신당 의원실이 국감 전 배포한 자료에 따르면, KT는 LG유플러스와 동일한 '이노와이어리스' 사의 펨토셀 장비를 사용했지만, LG유플러스와 달리 개별 인증 없이 '단일 벤더키' 하나로 다수 기기 인증을 처리해 왔다.

아주대학교 사이버보안학과 곽진 교수는 이에 대해 "(KT가) 관리상 편의를 추구하려던 측면에서 이 같은 문제가 발생했을 것"이라고 지적했다.

KT는 이러한 지적에 백기를 들었다. 국감장에 증인으로 출석한 서창석 KT 네트워크 부문장은 "(펨토셀 관리가) 정말 허술하게, 또 부실하게 관리됐다고 말씀드릴 수 있습니다"고 공식 시인했다. 이는 KT가 그동안 18만9000대 기기의 '대문'을 사실상 열쇠 하나로 관리해왔음을 증명한 것이다.

KT의 공식 입장은 "고의는 아니었으나 실수는 맞다"로 요약되지만, 이는 결국 '기본'적인 원칙을 지키지 않은 데 따른 결과였음을 스스로 인정한 셈이 됐다.

◇ LG유플러스, '유출'은 인정, '침해'는 부인
LG유플러스는 '증거 인멸'이라는 원칙적인 문제에 부딪혔다. 이해민 의원은 국감장에서 LG유플러스의 보안 시스템을 "해커들을 위한 레드카펫"이라고 비판하며 "해킹 정황이 담긴 서버를 재설치(폐기)하고, LG유플러스에서 뜬 이미지를 어떻게 믿느냐"고 질타했다.

홍범식 LG유플러스 대표가 밝힌 입장은 '철저한 방어'였다. 홍 대표는 "정보가 유출이 됐다라는 것이 저희 정보임을 확인을 했습니다. 다만 그것이 '침해가 있었느냐'라는 것들은 확인이 되지 않았다"고 답변했다. 업계에서는 이를 두고 '데이터 유출'과 '네트워크 침해'를 법리적으로 분석해 책임을 최소화하려는 논리라는 분석이 나온다.
'서버 폐기 의혹'에 대해서도 홍 대표는 "APPM 장비는 이중화가 되어 (액티브) 하나의 서버에 있는 것을 이미지를 제출을 하면 증거 보전이 된다라고 판단을 했습니다"라며 기술적으로 증거는 보존됐다는 입장을 고수했다.

이처럼 LG유플러스가 신고에 소극적이고 방어적인 태도를 취한 배경에는 'SKT 선례'가 있다는 분석이 나온다. 곽진 교수는 이 같은 모습을 "(해킹 정황을 자진 신고했던) SKT가 두들겨 맞는 모습을 두 통신사들도 봤기 때문"이라고 진단하며, 처벌의 역설을 지적했다.

◇ 편의와 회피만 남은 KT, LG유플러스 국정감사

국감장에서 드러난 KT와 LG유플러스의 입장은 보안을 대하는 인식의 부재를 근본적으로 드러냈다. KT는 '편의성'을 위해 '기본'을 무시했고, LG유플러스는 '책임 회피'를 위해 대응의 원칙을 외면했다. 이날 참고인으로 출석한 보안 전문가 박세준(티오리) 대표가 지적한 대로, 문제는 첨단 기술이 아닌 기본적인 패스워드가 무너진 데 있었다.

KT의 "허술했다"는 사후 인정과 LG유플러스의 "침해는 아니다"라는 법리 방어는 결국 통신업체가 '기본으로 돌아가라(Back to Basics)'는 전문가 조언을 무겁게 받아들여야만 하는 이유를 명확하게 보여줬다.

[관련출처 : 나이스경제]