Board

KT 소액결제 피해가 서버 침해에 대규모 개인정보 유출까지 확산되면서 소액결제에 필요한 개인정보의 유출 경로에 관심이 쏠리고 있다.

경찰은 불법 ‘초소형 기지국(펨토셀)’을 차량에 싣고 다니며 범행을 저지른 범인들을 체포했으며, KT는 2만명이 불법 펨토셀 신호를 수신한 사실을 확인했다.

현재까지의 소액결제 피해 고객은 362명, 피해액은 2억4000만원으로 집계된다.

하지만 문제는 펨토셀만으로는 소액결제에 필요한 이름·생년월일·전화번호 등 개인정보 확보가 쉽지 않다는 점이다. 전문가들은 펨토셀을 통한 인증문자·음성 탈취와

기존에 유출된 개인정보가 결합됐을 가능성을 높게 보고 있다.

전문가들은 펨토셀이 이번 사건에서 악용된 점은 분명하지만, 펨토셀만으로 결제에 필요한 모든 정보 탈취를 설명하기는 어렵다고 본다.

곽진 아주대학교 사이버보안학과 교수는 “펨토셀로 얻을 수 있는 정보는 한정적이기 때문에, 실제 소액결제에는 이미 유출돼 있던 다른 개인정보 DB가 결합됐을 것”이라고 설명했다.

곽 교수는 “프랙 문건에 나온 KT 내부인증키 유출 정황과 충분히 연관이 있을 수 있다”며 “문건에서도 나왔듯 이번 사건은 하루 이틀 만에 이뤄진 게 아니라, 오랜 기간 준비된 전문 해커의 조직적 공격일 가능성이 크다”고 강조했다. 그는 특히 ARS 인증이 피해자 모르게 우회된 정황에 주목했다. 그는 “ARS 인증이 탈취돼 피해자에게는 정상적인 알림이 전달되지 않았다는 점은, 단순히 구형 펨토셀만으로는 설명이 어렵다”며 타깃을 삼고 오랫동안 고민한 고도화된 공격 시나리오 가능성에 무게를 실었다.

실제로 프랙 문건은 공격 과정에서 사용된 도구·명령어 체계가 과거 중국계 해커들의 활동 패턴과 유사하다는 점을 근거로, 해당 해커가 중국 배후의 해커 조직일 가능성을 제기했다. 공격 과정에서 사용된 도구·명령어 체계, 유출된 자료의 활용 방식 등이 과거 중국계 해커들의 활동 패턴과 유사하다는 분석이다. 경찰 조사에서도 체포된 용의자는 “중국의 윗선의 지시에 따라 움직였다”는 진술을 내놓기도 했다.

김용대 카이스트 전기전자공학부·정보보호대학원 겸임교수는 이번 사건의 수법을 구체적으로 분석하며 “해커들이 기존에 유출된 이름·전화번호를 확보하고, 구형 펨토셀을 악용해 인증문자나 ARS 음성을 가로챘을 가능성이 있다”고 설명했다.

김 교수는 특히 ‘코너 케이스’라는 부분을 강조하며, 표준적으로는 암호화가 적용되는 통신망에서도 특정 단말·구형 장비 조합에서는 암호화가 풀리거나 적용되지 않는 예외적 상황이 존재할 수 있다고 지적했다. 이 경우 인증문자가 평문으로 노출돼 해커가 쉽게 획득할 수 있다는 것이다.

그는 범인들이 루팅(리눅스·안드로이드 같은 운영체제에서 ‘최고 관리자 권한(root)’을 얻는 행위)한 펨토셀을 와이파이 에그·배터리에 연결해 차량에 싣고 다니며 특정 지역 단말을 붙게 만든 뒤, 인증문자 패킷을 수집하고 사전에 확보한 데이터베이스(DB)와 대조했을 가능성도 있다고 분석했다.

김 교수는 검거 시나리오에 대해서는 “펨토셀을 이동식 도청 장비처럼 운용한 것이, 범행 흔적이 CCTV 동선과 차량번호로 남아 결국 검거 단서가 됐을 가능성이 있다”고도 덧붙였다.

이번 사건에서 남은 쟁점은 ▲개인정보 유출의 정확한 경로 ▲펨토셀에서 암호화가 무너진 구체적 이유 ▲ARS 인증 우회 방식 등이다.

현재 경찰과 민관 합동 조사단이 압수된 펨토셀 장비와 침해 정황을 정밀 조사 중이며 개인정보보호위원회도 구체적인 개인정보 유출 경위를 조사하고 있는 만큼, 각 기관의 분석 결과가 정보 유출 경로의 실체를 가르는 분수령이 될 전망이다.

[관련출처: 바이라인네트워크]​