중고로 팔고 수거도 안 하고… KT는 '펨토셀 관리' 제대로 했나 [추적+]

[조서영 기자]

이동통신사는 무선통신을 지원하기 위해 다양한 위치에 기지국을 설치합니다. 기지국을 생각하면 으레 거대한 건물이나 복잡한 건축물을 떠올리지만, 꼭 그런 건 아닙니다. 손바닥만 한 기기도 기지국이 될 수 있습니다. 최근 KT 해킹 사건에 휘말린 '펨토셀(femtocell)'이 그것입니다. 그렇다면 이번 사건에서 펨토셀은 어떤 문제를 일으킨 걸까요? 더스쿠프가 답을 찾아봤습니다.

KT 무단 소액결제 사건의 원인으로 펨토셀이 꼽혔다.[사진 | 연합뉴스]

서울 지하철 합정역 6호선 승강장. 길게 나 있는 승강장 복도 천장엔 각 이동통신사 이름이 적힌 무선통신기기가 다닥다닥 붙어있습니다. CD 플레이어 크기의 소형 기기는 15~20m 정도의 짧은 거리마다 하나씩 설치돼 있습니다. 이 기기 이름은 최근 KT 무단 소액결제 해킹사건의 진원지로 꼽힌 '펨토셀(femtocell)'입니다. 이 손바닥만 한 기기가 그럼 '기지국 역할'을 했던 걸까요? 어떻게 된 일일까요?

■ 의문① 무슨 일일까 = KT는 지난 9일 소액결제 피해가 발생한 지역 일대에 KT가 관리하지 않는 가짜 기지국이 설치돼 있었다는 사실을 확인했다고 발표했습니다. 이게 바로 펨토셀입니다. KT는 불법 펨토셀을 통해 이용자의 이동가입자식별정보(IMSI) 5561건이 유출된 정황도 파악했다고 밝혔습니다. KT의 말을 더 들어볼까요?

"소액결제 사건을 조사하는 과정에서 광명 일대의 휴대전화 접속 내역을 조사한 결과 피해자들이 연결된 기지국이 KT가 관리하는 곳이 아니란 사실을 파악했다. 이들이 두개의 불법 소형 기지국에 접속된 내역을 확인했다."[※참고: 아직까진 IMSI 외 다른 정보가 유출된 정황은 확인되지 않았습니다. 펨토셀 해킹이 소액결제 피해에 결정적인 역할을 했는지는 규명해야 합니다. 이 이야기는 후술했습니다.]

■ 의문② 펨토셀이 뭐길래 = 그럼 펨토셀은 어떤 기기일까요? 해커들은 어떻게 펨토셀을 통해 개인정보를 빼내 갈 수 있었던 걸까요? 펨토셀을 한번 자세히 살펴봅시다. 펨토셀은 100조분의 1을 의미하는 펨토(femto)와 휴대전화 통신 영역 단위인 셀(cell)을 합성한 말입니다. 이름 그대로 촘촘한 무선통신 서비스를 제공하는 기기란 뜻을 갖고 있죠.

휴대전화와 기지국과의 통신이 끊기거나 지연되지 않게 중간에 연결하는 '소형 기지국'이라고 이해하면 쉽습니다. 지하 깊숙이 위치한 지하철역이나 사람이 밀집한 영화관 등에 설치해 무선통신 흐름을 원활하게 유지합니다.

하지만 펨토셀은 해커들이 악용하기 쉬운 특징을 갖고 있습니다. 우선 크기가 작고 가벼워 탈취하거나 새로 설치하는 게 쉽습니다. 펨토셀을 통해 이용자 단말기와 이통사의 중앙망을 연결하는 과정에서 데이터를 쉽게 가로챌 수도 있죠. 이는 펨토셀에 접속할 때 펨토셀 기기의 진위를 확인하는 과정이 따로 없기 때문입니다.

그래서 펨토셀을 해킹하면 해커들은 이용자의 이동가입자식별정보(IMSI)뿐만 아니라 이용자 단말기에서 송수신되는 데이터도 얻을 수 있습니다. 음성·데이터·SMS를 관찰하거나 조작하는 것도 가능하죠.

해외에선 관련 사례가 적지 않습니다. 지난 4월 일본 매체 아사히TV는 "차량에 미등록 초소형 기지국을 탑재한 해커가 도쿄를 돌며 피싱 목적의 메시지를 보냈다"고 보도했습니다. 차량에 접근한 사람들에겐 '은행 계좌가 동결됐다'는 문자가 발송되거나 위치 정보가 권외圈外로 뜨는 현상도 나타났다고 합니다.

[사진 | 연합뉴스]

지난해 8월엔 태국에서도 비슷한 범죄가 일어났습니다. 펨토셀을 실은 차량이 나타나면 "신용카드 이용이 일시정지됐다"며 "다시 카드를 사용하고 싶으면 다음 URL을 누르라"란 메시지가 발송됐는데, 이 URL을 누르면 스마트폰이 '먹통'이 됐습니다.

■ 의문③ KT의 입장 = 사실 KT는 이통3사 중 '펨토셀 악용'에 가장 쉽게 노출될 수 있는 환경에 놓여 있습니다. 무엇보다 펨토셀의 숫자가 가장 많습니다. 국회 과학기술정보방송통신위원회 소속 최수진 의원의 자료에 따르면, KT는 15만7000대의 펨토셀을 운영하고 있었습니다. SK텔레콤과 LG유플러스가 각각 운영하는 7000대, 2만8000대에 비해 훨씬 많은 숫자입니다.

이렇게 수도 많은데, 관리 시스템이 부실했다는 목소리도 나옵니다. KT는 집에 직접 설치할 수 있는 펨토셀 제품 '기가아토'를 통해 가입자 무선통신 속도를 관리해 왔는데, 정작 기가아토의 관리엔 소홀했다는 겁니다. 실제로 중고나라 등 온라인 중고 플랫폼에선 기가아토를 판매하는 글을 쉽게 찾아볼 수 있었습니다. 기가아토 서비스를 해지해도 수거해가지 않는 경우도 있었습니다.

KT 기가아토 판매합니다. 테스트 완료한 제품입니다. 바로 사용 가능합니다. 사진의 구성품 안전하게 포장해 보내드립니다. 5만원에 판매합니다(중고 거래 플랫폼 A).

이사 온 집에 인터넷이 잘 안 터져서 기가아토를 설치하고 싶다고 요청했어요. 원래 기사님께서 직접 해주시지만 제가 너무 바빠서 어쩔 수 없이 직접 제품을 받아 설치했습니다. 방법이 무척 간단했어요(B씨 블로그).

물론 KT는 "이번 사건이 자사가 펨토셀을 제대로 관리하지 않았기 때문에 발생한 건 아니다"고 잘라 말했습니다. 다른 이통사와 마찬가지로 펨토셀을 통과하는 정보들을 모두 암호화 상태로 처리한다는 겁니다. 그렇다면 이번 사건 땐 왜 개인정보가 유출된 걸까요? KT의 해명은 사실일까요?

김용대 카이스트 전기전자공학부 교수의 말을 들어보시죠. "휴대전화부터 기지국까지의 무선 통신은 암호화돼 있는 게 맞다. 하지만 펨토셀에선 암호가 풀린다. 누군가 가짜 펨토셀을 KT 망에 연결한다면 통화나 문자의 내용을 확인할 수 있다."

■ 의문④ 수사 방향 = 현재까진 소액결제 피해가 발생한 지역에 불법 펨토셀이 설치돼 있다는 점만 확인된 상태입니다. IMSI 외 개인정보 유출 정황도 확인되지 않았습니다. KT 관계자는 "소액결제 승인까지 진행되려면 자동응답전화(ARS) 인증을 거쳐야 한다"며 "ARS 승인을 받을 수 있는 주민등록번호나 단말기고유식별번호(IMEI) 등의 정보가 유출된 정황은 확인되지 않았다"고 말했습니다.

구재형 KT 네트워크기술본부장은 11일 열린 간담회에서 "최소한 이름과 생년월일을 직접 입력해야 ARS 인증이 이뤄질 수 있는데 이런 부분은 초소형 기지국에서 유출될 수 없다"며 "(추후) 수사를 통해 확인해야 한다"고 말했습니다. KT 펨토셀 해킹으로 소액결제 피해가 발생했는지 확인하는 게 관건이란 얘기입니다.

김승주 고려대(정보보호학) 교수는 "결제에 필요한 추가정보인 이름, 주민등록번호 등을 어디서 얻었는지 규명하는 게 중요하다"며 "KT 내부망이나 외부 사이트 등 범위가 넓고 아직 확인되지 않은 사실이 많다"고 말했습니다.

과학기술정보통신부는 민관합동조사단을 꾸려 조사를 진행하고 있습니다. 펨토셀 통해 소액결제 해킹 사건이 발생한 게 맞는지, 무단 소액결제가 어떤 방식으로 이뤄질 수 있는지 등이 조사 포인트입니다.

때마침 경찰이 16일 불법 펨토셀을 이용해 KT 이용자들의 휴대전화를 해킹한 용의자 2명을 체포했습니다. 중국 교포 A(48세)씨와 B(44세)씨입니다. A씨는 자신의 차에 불법 소형 기지국 장비를 싣고 피해 발생지 주변에서 차량을 운행한 사실을 시인한 것으로 알려졌습니다. 경찰은 A씨가 범행에 사용한 불법 소형 기지국 장비도 확보한 상황입니다. 과연 조사단과 사법기관은 KT 해킹 사건의 진실을 알아낼 수 있을까요?

조서영 더스쿠프 기자

syvho11@thescoop.co.kr

<저작권자 Copyright ⓒ 더스쿠프 무단전재 및 재배포 금지>