국가 기간통신망 보안의 총체적 난국… KT·LGU+ 사태가 남긴 경고장

“KT, LGU+ 침해사고는 SK텔레콤 침해사고에 이어 국가 핵심 기간통신망에 보안 허점이 드러난 엄중한 사안이다. 기업들은 국민이 신뢰할 수 있는 안전한 서비스 환경을 만드는 것이 생존의 필수 조건임을 인식하고 정보보호를 경영의 핵심가치로 삼아야 한다.”

지난 29일 정부 조사 결과를 발표한 류제명 과학기술정보통신부 제2차관의 발언은 사안의 심각성을 단적으로 드러낸다. 과기정통부가 KT와 LG유플러스의 침해사고에 대해 민관합동조사단의 최종 결과를 공개하면서, 국가 기간통신망에 대한 보안 신뢰가 근본적으로 흔들렸다는 문제의식을 분명히 했다는 점은 주목할 필요가 있다.

과기정통부는 발표에서 KT의 보안 관리 부실로 인해 불법 펨토셀 장치가 내부망에 접속했고, 이로 인해 통신정보 탈취 및 소액결제 피해가 발생했다고 밝혔다. 조사단은 불법 펨토셀을 통해 가입자 2만2,227명의 IMSI·IMEI·전화번호 등 식별 정보가 외부로 유출됐고, 368명의 이용자가 무단 소액결제를 당해 약 2억4,300만 원의 피해가 발생했다고 확인했다. 또한 KT 서버 94대가 악성코드에 감염된 사실도 드러났다.

조사단은 특히 KT의 펨토셀 보안관리 체계 전반이 부실했다는 점과, 통신 암호화가 불법 펨토셀을 통해 해제될 수 있었던 구조적 취약점을 지적했다. 과정에서 통신 트래픽이 캡처돼 평문 상태로 노출될 위험이 있었다는 사실도 확인됐다. 과기정통부는 KT가 통신서비스 제공 의무를 다하지 못했다고 판단하며, 사고를 KT 이용약관상 위약금 면제 사유인 ‘회사 귀책’에 해당한다고 해석할 수 있다고 밝혔다. 다수 법률 자문기관의 의견도 이 같은 정부 판단을 뒷받침했다.

류제명 차관은 브리핑에서 “정보통신망법상 통신사업자에게는 안전한 통신서비스를 제공할 의무가 있고, 국민의 일상생활 전반이 통신서비스를 기반으로 이루어지고 있다는 점을 고려할 때, 이용자는 사업자가 안전한 서비스 제공을 위한 적절한 보호조치를 할 것으로 기대할 수 있다”고 설명했다. 이 발언은 단순히 기술적 결함 보고를 넘어, 통신사와 이용자 간 계약에서 보안이 본질적 요소임을 정부가 명확히 한 것으로 읽힌다.

KT 측은 조사 과정에서 악성코드 감염 사실을 자체 점검 과정에서 여러 차례 발견했음에도 정부에 신고하지 않은 사례가 확인되기도 했다. 과기정통부는 정보통신망법에 따라 침해사고 발생 시 24시간 이내 신고해야 함에도 신고가 지연되거나 누락된 점을 지적하며 과태료 부과 계획을 밝혔다.


한편 LG유플러스의 경우, 조사단은 익명의 제보자가 주장한 자료 유출 정황을 파악하기 위해 정밀 분석을 시도했으나, 주요 서버들이 운영체제 재설치 또는 폐기된 상태여서 유출 여부를 확인할 수 없었다. 과기정통부는 이 같은 서버 폐기 행위가 조사 이후 이루어진 점을 고려해 ‘위계에 의한 공무집행 방해’로 경찰청에 수사의뢰했다.

류 차관은 “기업들은 국민이 신뢰할 수 있는 안전한 서비스 환경을 만드는 것이 생존의 필수 조건임을 인식해야 한다”고 재차 강조했다. 발표는 단순한 사고 보고를 넘어 통신사 보안 체계 전반에 대한 근본적인 재검토 필요성을 정부가 공식적으로 천명한 것으로도 해석될 수 있다.

일련의 결과는 국가 기간통신망에 대한 보안의 중요성을 부각시킨다. 통신 3사는 우리 사회의 정보 기반을 책임지는 핵심 인프라인 동시에 국민 개인의 생활 정보와 일상 연결 고리다. 그만큼 보안 취약점이 현실적 피해로 이어질 경우 그 영향은 개인을 넘어 사회 전체로 확대될 수 있다.

조사 결과를 계기로 정부는 재발방지 대책의 이행 여부를 지속 점검하고, 필요할 경우 시정 명령을 포함한 법적 조치를 취할 예정이다. 또한 정보보호 최상위 책임자 권한 강화, 외부 보안장비 도입, 로그 보관 기간 확대 등 보안 체계 전반의 개선 방안도 제시되고 있다.

보안 전문가들은 사안이 단순한 기술 문제에 국한되지 않는다고 본다. 기술적 취약점 자체는 위협의 한 축이지만, 탐지·대응 체계, 거버넌스, 신고의무 준수 등 관리적 요소가 함께 작동하지 못했을 때 큰 사고로 이어질 수 있다는 점이 결과를 통해 분명해졌다. 정부 발표가 향후 통신망 보안 기준과 기업 책임의 무게를 어디까지 끌어올릴지 산업계 관계자들의 관심이 집중되고 있다.