[기자수첩] 기술은 뚫렸고, 신뢰는 사라졌다

KT 소액결제 해킹 사건이 밝혀낸 것은 단순한 보안 실패가 아니다. 그것은 통신 기술이 일상 깊숙이 스며든 사회에서 ‘안전하다 믿었던 것들이 얼마나 쉽게 뚫릴 수 있는지’를 실증한 사건이다. 동시에, 이런 구조적 침해 앞에서도 기업이 얼마나 느리고 관성적으로 대응하는지 확인한 계기이기도 했다.

이번 사건은 초소형 기지국 장치인 펨토셀이 악용된 국내 첫 사례다. 용의자는 불법으로 개조된 펨토셀을 통해 KT의 내부망에 접속했고, 이를 통해 고객의 통신 흐름을 가로채고 소액결제 인증 정보를 빼냈다. 경찰은 최근 이 용의자를 검거했고, 과기정통부와 민관합동조사단은 조사 범위를 확대하고 있다.

문제는 피해 규모가 초기 발표보다 계속 커지고 있다는 점이다. 처음에는 278명, 1억 7천만 원 피해였지만, 조사 결과 피해자는 362명으로 늘었고 피해액도 2억 4천만 원을 넘었다. 무엇보다 심각한 건, 2만 명이 넘는 이용자가 이 불법 기지국에 노출됐다는 사실이다. KT는 이들에게 유심 무상 교체와 요금 청구 면제 등의 조치를 취했지만, 그것이 신뢰 회복으로 이어질지는 미지수다.

기술적으로만 본다면, KT의 펨토셀 관리 실태는 이미 몇 년 전부터 업계 내에서 취약점으로 지적돼 왔다. 하지만 이 문제는 기술보다 더 본질적인 질문으로 이어진다. ‘왜 기업은 이런 위협에 대비하지 않았는가’, ‘해킹 시도가 있었을 때 왜 즉시 공개하지 않았는가’, ‘왜 항상 사건 이후에야 보완에 나서는가’라는 것이다. 실제로 KT는 6월부터 9월까지 220만 명의 통화기록 2천만 건을 분석했지만, 문제를 뒤늦게 인지했고, 추가 침해 사실을 사고 발생 수개월 후에야 정부에 신고했다. 과기정통부는 기업의 미신고·늑장 신고에 대한 과태료 강화를 검토 중이라고 밝혔다.

이 사건이 갖는 의미는 단순히 보안 사고 한 건에 그치지 않는다. 기술이 촘촘히 엮인 사회에서, 보안은 기업의 문제가 아니라 사회의 기반 구조에 관한 문제다. 특히 통신 인프라는 공공성과 민간성이 교차하는 영역이다. 그럼에도 이번 사건에서 보인 KT의 태도는 민간 이윤 중심의 감각에서 벗어나지 못한 모습이었다. 불법 기지국은 차단되었고, 정식 인증된 장비만 내부망에 접속할 수 있도록 조치했다고 한다. 하지만 ‘왜 그 이전까지 가능한 구조였는가’에 대한 근본적 답변은 없었다.

류제명 과기정통부 제2차관은 “AI 보안 기술을 활용한 디지털 방어 체계를 구축하겠다”고 말했다. 하지만 이 사건이 보여준 것은, 보안의 실패가 기술의 실패가 아니라 태도의 실패라는 점이다. 내부망을 지키는 것은 알고리즘이 아니라 조직의 감각이다. 보안 사고에 대한 빠른 인지, 정확한 공개, 투명한 책임. 이 세 가지가 없다면, 어떤 기술도 침해당하지 않을 보장은 없다.

더 이상 해킹은 일부 기술자들의 일이 아니다. 평범한 이용자, 스마트폰 하나에 모든 것을 연결한 사람들의 생존 문제다. 그리고 이번 KT 사태는, 우리가 기대는 시스템이 얼마나 얇은 얼음 위에 서 있는지를 확인시켜줬다.