KT 이어 롯데카드까지 침해사고…정부 “근본 대책 마련하겠다”

[산업일보]
최근 KT 고객 무단 소액결제 침해사고에 이어 롯데카드 정보 유출사고까지 발생하며, 사이버 침해사고로 인한 국민의 피해가 계속되고 있다.

이에 과학기술정보통신부와 금융위원회는 19일 서울정부종합청사에서 조사 상황과 대응 방안 등에 대해 합동 브리핑을 진행했다.

KT, 용의자 잡혔으나 침해사고 추가 신고
KT 침해사고의 경우 17일 용의자 2명이 경찰에 검거됐다. 민관합동조사단은 경찰과 함께 불법 초소형 기지국이 KT 내부망에 접속한 경로, 피해자 통신 탈취 방법, 소액결제에 필요한 개인정보 확보 경위를 중심으로 조사를 진행하고 있다.

KT에는 초소형 기지국(펨토셀) 관리·운영 실태를 파악하고 문제점에 대해 우선 시정하도록 조치했고, 불법 초소형 기지국의 KT 내부망 접속·동작 방식 파악을 위해 테스트 환경을 구축하고 분석 중이다.

KT 침해사고 피해규모는 10일 과기정통부 브리핑에서 발표한 278명 1억 7천만 원 가량에서, 362명 약 2억 4천만 원으로 늘었다. 피해자 단말기가 불법 기지국에 접속한 것이 확인된 최초시기가 올해 6월 26일임을 감안해, 6월 1일부터 이달 10일까지 소액결제 서비스 이용자 220만 명의 ARS 통화기록 2천267만 건을 분석한 결과다.

이번 침해사고로 2만 30명의 이용자가 불법 기지국에 노출됐고, 전화번호, 가입자 식별번호 정보, 단말기 식별번호 정보가 유출됐다. 이전에 확인된 불법 기지국 ID 4개외 추가 ID는 발견되지 않았다.

9일 이후에는 미등록 불법 기지국을 통한 KT 내부망 접속은 불가능한 상태이며, KT 침해사고 피해자들에게는 무상 유심 교체를 지원하고 피해 금액은 청구하지 않는다.

한편, 18일 23시 57분 KT는 외부 전문 기업의 보안 점검 결과를 통해 추가적인 침해사고 있었다는 사실을 인지하고 정부에 신고했다. 민관합동조사단은 소액결제 침해사고와 새롭게 접수된 침해사고, 최근 해킹 조직의 주장까지 더해 사실관계를 신속히 파악하고 투명하게 공개할 계획이다.

브리핑을 진행한 과기정통부 류제명 제2차관은 “과기정통부는 보안전문가들과 함께 보안 체계 전반을 원점에서 재검토하고, 임시방편적 사고 대응이 아닌 근본적인 대책을 마련할 것”이라고 말했다.

이어 “기업이 고의적으로 침해사고 사실을 지연 신고 또는 미신고 할 경우 처분을 강화하고, 해킹 정황을 확보할 경우 기업 신고 없이도 정부가 조사할 수 있도록 제도를 개선할 것”이라며 “해킹 사고 예방·대응에 AI(인공지능) 기술을 적극 활용하는 국가 보안 체계 고도화에도 힘쓰겠다”라고 강조했다.

롯데카드, 297만 명 개인신용정보 유출
롯데카드는 1일, 서버 해킹 사고를 인지하고 금융감독기관에 신고했다. 서버 공격은 8월 14~15일경 이뤄졌다.

정부는 사고 신고 즉시 롯데카드에 소비자 보호조치를 주문했으며, 롯데카드는 사고 인지 초기부터 부정 사용시 선 보상, 추가 보안인증, 카드 재발급과 같은 조치를 취하고 있다. 현재까지 부정사용 피해는 나타나지 않았다.

금융감독원과 금융보안원은 2일부터 현장조사에 착수해 정보유출 경위와 내용, 보안 위규 사항 등을 파악하고 있다. 롯데카드는 1.7GB의 정보가 탈취된 것으로 신고했으나, 조사 과정에서 해커가 온라인 결제 서버에 침입해 총 200GB의 정보를 유출한 것으로 드러났다.

17일 롯데카드는 약 297만 명의 개인신용정보 유출을 확인했으며, 이 중 269만 명은 정보가 제한적으로 유출돼 부정사용 가능성은 낮다는게 금융위원회의 설명이다. 나머지 28만 명의 경우에도 부정사용 가능성은 크지 않지만, 단말기에 카드 정보를 직접 입력하는 ‘키인(Key-in)’의 경우 일부 가맹점에서 취약점이 제기된다. 정부는 이상거래탐지시스템을 가동하고, 차단을 위해 노력하고 있다.

금융위원회 권대영 부위원장은 브리핑에서 “해킹 기술과 수법이 치밀하고 교묘하며 빠르게 진화하고 있지만, 금융권의 대응은 이를 따라가지 못하고 있다”라며 “보안 투자를 불필요한 비용이나 부차적 업무로 여기는 안이한 자세가 있지 않은지 냉정하게 돌아봐야 할 시점”이라고 꼬집었다.

그러면서 “정부는 보안 실태에 대한 밀도 높은 점검과, 재발 방지를 위한 근본적 제도 개선에 착수했다”라며 “금융회사 CEO 책임하에 모든 전산시스템과 정보체계 전반을 신속히 점검할 수 있도록, 점검 결과를 면밀히 감독하겠다”라고 밝혔다.

이어 ▲보안사고 발생 시 징벌적 과징금 도입 추진 ▲금융회사 CISO 권한 강화 ▲제도 개선 과제 발굴 및 추진 등 근본적인 제도 개선에도 나서겠다고 덧붙였다.