[녹색경제신문 = 조아라 기자] 정부의 민관합동조사단 결과 KT가 그간이 알려진 불법 기지국 해킹 말고도 추가로 BPF도어 악성코드에까지 감염됐던 것으로 드러났다. 당초 KT는 이같은 사실을 신고하지 않았고 조사단이 조사과정에서 KT가 악성코드를 자체 처리하려던 흔적을 발견해 감염 사실을 뒤늦게 드러났다.

지난 4월 SK텔레콤의 유심 해킹 사태에 이어 또다시 발생한 KT 사이버 침해 사건을 두고 업계 전반의 보안 의식 재고와 본질적인 체질 개선이 필요하다는 목소리가 나온다.

지난 9월 9일부터 KT 해킹 사고를 조사한 민관 합동조사단은 전날 KT가 지난해 3∼7월 사이 BPF도어와 웹셸 등 악성코드에 감염된 서버 43대를 자체 확인하고도 관계기관에 신고하지 않았다고 발표했다.

BPF도어는 올해 초 SK텔레콤에도 해킹 사태에서도 사용된 악성코드로, 서버 내부에 장기간 잠복하며 탐지를 피하는 은폐형 공격 수단이다. 감염된 서버에는 성명, 전화번호, 이메일 주소, 단말기식별번호(IMEI) 등 가입자 개인정보가 저장된 것으로 밝혀졌다.

여기에 KT의 모든 펨토셀이 동일한 인증서를 사용해 해당 인증서를 복사하면 불법 펨토셀도 KT망 접속이 가능한 것으로 알려졌다.

보안업계 한 관계자는 “이번 사건에서 해커의 공격이 치밀한 수법이라기보다 기업들의 기본적인 보안 체계의 허술함이 문제”라면서 “모든 펨토셀이 동일한 인증서를 사용한 것이 대표적”이라고 지적했다.

이어 그는 “동일한 인증서를 사용하면 암호화도 무용지물”이라면서 “개별 기업의 보안 체계는 기밀 사안이니 정확하게 파악할수는 없지만 그동안 별 문제가 없었으니 관행적으로 사용해왔고, 이번 해킹 사건으로까지 이어진 것으로 보인다”고 언급했다.

통신업계의 해킹 사고가 반복되자 관련 체계나 법이 바뀌어야 한다는 주장도 제기된다. 황정아 더불어민주당 의원은 지난 4일 정부가 직권으로 해킹 사태를 조사할 수 있도록 하는 ‘정보통신망법’ 개정안을 발의했다.

황 의원의 개정안은 해킹 침해사고가 발생했다고 의심할 만한 정황이 있는 경우에도 과학기술정보통신부가 직접 조사에 착수할 수 있도록 권한을 강화했다.

또한, 해킹 침해사고 신고를 하지 않거나 지연한 경우, 자료를 제출하지 않거나 조사를 방해한 경우 등에 대해 매출액의 최대 5%까지 과징금을 부과할 수 있도록 하는 조항을 마련했다.

다만, 사후 처벌을 강화하자는 방향에는 이견도 제시된다. 오히려 이번 사태처럼 기업들이 침해 정황을 숨기고 신고를 하지 않을 수 있다는 이유에서다. 사후 처벌 강화보다 개인정보 관리나 보안 문제를 개별 기업에 맡길 것이 아니라 사전 예방을 위한 국가적 관리 체계나 관련 제도 변경이 필요하다는 이야기다.

이성엽 고려대 기술경영전문대학원 교수는 “고도화된 디지털 환경에서 해킹 보안 문제에 비단 개별 기업에게만 책임을 떠넘길 수는 없다”며서 “대기업도 처벌이 두려워 신고를 꺼리는 마당에 사후 처벌만 강화하면 침해 정황을 숨기는 기업들이 늘어날 수 있다”고 우려를 표했다.

이 교수는 그러면서 “기업이 잘못한 것에는 책임을 져야겠지만 본질적으로 국가적 차원의 재정비가 필요하다”라고 지적했다.