[2025 산업계 10대 뉴스③] 통신 3사 모두 뚫렸다…‘K-사이버 보안’ 비상등 해킹 대응보다 축소·은폐 급급, ‘가짜 기지국’ 공격은 내년에도 이어져 지난해 12월 벌어진 계엄과 탄핵 정국은 한국에 대한 대외적인 신인도에 지대한 영향을 미쳤고, 한동안 ‘불확실성’이 한국의 경제와 산업계를 대변하는 단어가 되기도 했다.특히, AI로 대변되는 디지털화가 진행되는 동안 해킹과 국정자원 화재 등의 사건 발생은 현재 한국의 산업계가 가고 있는 방향과 속도에 대해 다시금 돌아볼 수 있는 시간이었고, 노조법과 중대재해법 등 각종 정책들은 산업계의 주축인 근로자와 사측의 공생에 대한 고민을 던져주기도 했다.한편, 전 세계의 화두인 기후위기에 대응하기 위해 기후에너지환경부가 신설되면서 산업계 역시 발빠른 대응에 나서기 시작했으며, 하반기에는 전인미답의 코스피 4,000P에 도달하기도 했다. 아울러, 2기 트럼프 정부 이후 한국을 비롯한 전 세계의 과제인 ‘관세전쟁’도 ‘선방했다’는 평가를 받으면서 일단락됐다.이에 본보는 올해 산업계를 달군 10가지 뉴스를 선정해 독자들과 올 한 해를 돌아보고자 한다.2025년 한국 통신 3사 케이티(KT), SK텔레콤(SKT), 엘지유플러스(LG U+)가 모두 사이버 침해사고(해킹) 피해를 당하는 불명예를 안았다. 사고 대응 과정에서도 피해 사실 축소· 증거 은폐 정황이 드러나며 국민의 불신이 확산 됐다. 포문을 연 곳은 SKT였다. 지난 4월 18일 SKT는 대용량의 데이터가 외부로 전송된 정황을 인지하고 4월 20일 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 정부는 4월 23일 민관합동조사단을 구성해 6월 27일까지 SKT 전체 서버 4만 2천605대를 대상으로 조사에 나섰다. 조사단은 28대 서버가 감염된 것으로 파악했고, 포렌식을 비롯한 정밀 분석 결과 악성코드 33종을 발견했다. 유출된 정보는 전화번호, 가입자 식별번호(IMSI) 등 유심정보 25종이었으며, 유출 규모는 9.82GB, IMSI 기준 약 2천696만 건이었다.과학기술정보통신부가 7월 발표한 민관합동조사 최종 결과에 따르면 SKT는 감염이 확인된 HSS(음성통화인증) 관리 서버 계정 정보를 타 서버에 평문으로 저장해 공격자가 이를 활용할 수 있었고, 2022년 악성코드에 감염된 서버를 발견해 조치했으나 정보통신망법상 신고 의무를 이행하지 않았다. 더불어 유심 복제에 활용될 수 있는 ‘유심 인증키(Ki) 값’을 암호화하지 않고 저장했다. 과기정통부는 SKT가 침해사고 대응과정에서 정보통신망법 준수 의무 2가지를 위반했다고 지적했다. 침해사고 인지 후 24시간 이내 과기정통부 또는 KISA에 신고해야 하나, 이 기간이 지난 후 신고했다. 또, 과기정통부가 침해사고 원인 분석을 위해 4월 21일 17시 자료 보전을 명령했으나 SKT는 같은 날 19시 서버 2대를 포렌식이 불가능한 상태로 임의 조치 후 조사단에 제출했다. 이외에도 보안 관리·공급망 보안·정보보호 거버넌스 체계가 미흡했고, 타사 대비 정보보호 인력 및 투자 규모도 부족했다고 꼬집었다. 8월 말부터 9월 초에는 경인권 KT 이용자들을 중심으로 휴대전화 소액결제가 무단으로 이뤄졌다는 피해 신고가 잇따랐다. KT는 사건 초기 고객 개인 기기의 스미싱 감염으로 판단했으나, 9월 8일 미등록 기지국이 내부망에 접속한 사실을 발견하고 KISA에 신고했다. KT 침해사고는 펨토셀(Femtocell) 장비를 기반으로 만들어진 ‘차량 탑재형 가짜 기지국(FBS)’이 원인으로 밝혀졌다. 펨토셀은 음영지역 해소 및 실내 통화·데이터 품질 개선에 쓰이는 소형 기지국 장비다. 휴대전화는 주변 기지국 신호 중 가장 강한 신호를 송출하는 기지국에 자동으로 접속하는데, 가짜 기지국이 실제 기지국보다 강력한 신호를 송출해 해당 지역 휴대전화의 연결을 유도해 암호화를 해제하고 정보를 가로챈 것이다. 10월 17일 중국 국적의 조선족 용의자 2명이 경찰에 검거됐다. 여러 매체의 보도를 따르면, 이들은 중국에 있는 윗선의 지시를 받아, 신호가 잘 잡히는 새벽시간에 수도권을 돌아다니며 휴대전화를 해킹했다. 과기정통부가 11월 6일 발표한 KT 침해사고 중간 조사 결과에 따르면, 민관합동조사단은 2024년 8월 1일부터 올해 9월 10일까지 기지국 접속 이력 및 결제 데이터를 분석해 불법 펨토셀 20개에 접속한 2만 2천227명의 IMSI와 단말기 식별번호(IMEI) 및 전화번호 유출 정황, 소액결제 피해자 386명의 2억 4천319만 원 규모 소액결제 피해를 파악했다. 조사단은 KT의 펨토셀 관리 체계가 부실해 불법 펨토셀이 내부망에 쉽게 접속할 수 있는 환경이었다고 지적했다. 모든 펨토셀이 동일한 인증서를 사용해 해당 인증서를 복사하면 불법 펨토셀도 KT 망에 접속 가능했고, 인증서 유효기간이 10년으로 설정돼 한 번이라도 접속 이력이 있으면 지속적으로 접속할 수 있었다. 펨토셀에 탑재되는 중요정보도 보안관리 체계 없이 제작 외주사에 제공했고, 장치에서 해당 정보를 쉽게 확인하고 추출할 수 있었다. 내부망 접속 인증과정에서 비정상 IP를 차단하지도 않았고, 펨토셀의 형상정보(제품 고유번호·설치 지역번호 등)와 KT 망에 등록된 정보 간 일치 여부도 검증하지 않았다. 조사단은 전문가 의견 청취와 KT 통신망 테스트베드 실험을 통해, 불법 펨토셀을 거쳐 통신 종단 암호화를 해제할 수 있었고 이후 인증정보(ARS, SMS)를 평문으로 취득할 수 있었다고 판단했다. 조사단은 서버 포렌식을 통해 과거(2024년 3월~7월) KT에 악성코드 침해사고가 발생했고 이를 KT가 임의 처리한 사실을 확인했다. 정보통신망법상 신고 의무 위반이다. KT는 9월 5일 무단 소액결제 관련 이상 통신 호 패턴을 발견해 차단 조치했음에도, 불법 펨토셀 ID를 확인한 후 9월 8일에야 지연 신고하기도 했다. 한편, 8월 글로벌 해킹 전문지 ‘프랙 매거진(Phreak Magazine)’에는 미국 해커 Saber가 북한 해킹 공격그룹 김수키(Kimsuky)의 PC를 해킹한 보고서를 공개했다. 정보보안 유튜브 채널 ‘Normaltic Place’ 및 프랙 매거진을 인용한 보도를 종합해 보면, 미국 해커는 해당 PC에서 ‘국군방첩사령부 피싱 공격 정황’·‘외교부 웹서버 소스코드’·‘정부업무관리시스템(온나라) 내부망과 통신 흔적’·‘LG U+ 내부 서버 8천938대와 계정 4만 2천526개의 정보, 직원 167명의 실명·계정 정보’·‘KT 웹서비스 서버 인증서·개인키 파일 유출 정황’ 등을 발견했다.KT와 LG U+는 해킹 공격을 당한 흔적은 없으나, 보고서에서 언급된 데이터는 자사 정보라고 인정했다. 하지만 정부 브리핑에 따르면, KT는 8월 1일 관련 서버를 폐기했다고 KISA에 답변했으나 실제로는 8월 1일(2대), 6일(4대), 13일(2대)에 걸쳐 폐기했다. 또한 폐기 서버 백업 로그가 있음에도 9월 18일까지 보고하지 않았다. 조사단은 KT가 정부 조사 방해를 위한 고의성이 있다고 판단하고 10월 2일 수사 의뢰했다. 또한, 프랙 보고서에서는 김수키가 LG U+의 서버 관리와 접근 제어 솔루션을 맡은 시큐어키를 통해 정보를 얻고 LG U+ 내부망에 침투했다고 설명했다. 시큐어키는 KISA에 해킹 피해를 신고했다. 이에 과기정통부가 8월 11일 LG U+에 자체 조사 결과를 요청하자, LG U+는 13일 해킹 흔적이 없다고 답변했다. 그러나 12일 LG U+가 해킹 의심 서버의 운영체제(OS)를 재설치한 것으로 드러나면서 ‘서버 폐기’ 의혹이 일었다. 결국 10월 23일 LG U+는 KISA에 해킹 의심 정황을 신고했다. 정부는 11월 7일 민관합동조사단이 구성돼 서버·내용·로그 등을 정밀하게 살펴보고 있다고 전했다. 행정안전부는 10월 17일 브리핑을 열고 7월 중순 경 국가정보원으로부터 외부 PC에서 정부원격근무시스템인 GVPN을 통해 온나라 시스템에 접근한 정황을 확인했고, 8월 4일 GVPN 접속 시 행정전자서명 인증과 더불어서 전화인증 ARS를 함께 거치도록 보안 체계를 강화했다고 밝혔다. 이 외에도 올해 한국에서는 ▲YES24 서비스 마비 사태(6월, 8월) ▲SGI보증보험 랜섬웨어 사태(7월) ▲롯데카드 개인정보 유출 사건(9월) ▲SK 쉴더스 허니팟 보안사고(10월) ▲넷마블 해킹(11월) ▲쿠팡 개인정보 유츨(11월) 등 굵직한 사이버 침해 사건이 이어졌다. 구글 클라우드의 ‘구글 위협 인텔리전스 그룹(Google Threat Intelligence Group)’은 최근 ‘2026년 사이버 보안 전망 보고서(2026 Cybersecurity Forecast Report)’를 발표했다. 보고서는 내년부터 AI(인공지능)가 사이버 공격의 새로운 표준으로 자리 잡을 것이라고 내다봤다. 멀티모달 생성형 AI를 적극 활용해 보이스 피싱 공격의 성공률을 높이면서, 초현실적인 대규모 비즈니스 이메일 침해(BEC) 공격이 이뤄질 수 있다는 것이다. 랜섬웨어와 데이터 탈취 및 갈취도 주요 공격 그룹의 주도하에 이어진다고 예측하기도 했다. 아시아태평양 지역에서는 아세안정상회의(ASEAN Summit)·APEC 경제지도자회의(APEC Economic Leaders’ Meeting)·태평양제도포럼(Pacific Islands Forum) 등 주요 정치 및 안보 정상 회의를 표적으로 하는 정치적 스파이 활동 증가가 예상되며, KT 침해 사고에 쓰인 FBS를 활용한 위협이 지속될 것으로 전망했다.

[2025 산업계 10대 뉴스③] 통신 3사 모두 뚫렸다…‘K-사이버 보안’ 비상등

해킹 대응보다 축소·은폐 급급, ‘가짜 기지국’ 공격은 내년에도 이어져

기사입력 2025-12-24 07:07:07

[산업일보]

지난해 12월 벌어진 계엄과 탄핵 정국은 한국에 대한 대외적인 신인도에 지대한 영향을 미쳤고, 한동안 ‘불확실성’이 한국의 경제와 산업계를 대변하는 단어가 되기도 했다.

특히, AI로 대변되는 디지털화가 진행되는 동안 해킹과 국정자원 화재 등의 사건 발생은 현재 한국의 산업계가 가고 있는 방향과 속도에 대해 다시금 돌아볼 수 있는 시간이었고, 노조법과 중대재해법 등 각종 정책들은 산업계의 주축인 근로자와 사측의 공생에 대한 고민을 던져주기도 했다.

한편, 전 세계의 화두인 기후위기에 대응하기 위해 기후에너지환경부가 신설되면서 산업계 역시 발빠른 대응에 나서기 시작했으며, 하반기에는 전인미답의 코스피 4,000P에 도달하기도 했다. 아울러, 2기 트럼프 정부 이후 한국을 비롯한 전 세계의 과제인 ‘관세전쟁’도 ‘선방했다’는 평가를 받으면서 일단락됐다.

이에 본보는 올해 산업계를 달군 10가지 뉴스를 선정해 독자들과 올 한 해를 돌아보고자 한다.

AI 생성 이미지

2025년 한국 통신 3사 케이티(KT), SK텔레콤(SKT), 엘지유플러스(LG U+)가 모두 사이버 침해사고(해킹) 피해를 당하는 불명예를 안았다. 사고 대응 과정에서도 피해 사실 축소· 증거 은폐 정황이 드러나며 국민의 불신이 확산 됐다.

포문을 연 곳은 SKT였다. 지난 4월 18일 SKT는 대용량의 데이터가 외부로 전송된 정황을 인지하고 4월 20일 한국인터넷진흥원(KISA)에 침해사고를 신고했다. 정부는 4월 23일 민관합동조사단을 구성해 6월 27일까지 SKT 전체 서버 4만 2천605대를 대상으로 조사에 나섰다. 조사단은 28대 서버가 감염된 것으로 파악했고, 포렌식을 비롯한 정밀 분석 결과 악성코드 33종을 발견했다. 유출된 정보는 전화번호, 가입자 식별번호(IMSI) 등 유심정보 25종이었으며, 유출 규모는 9.82GB, IMSI 기준 약 2천696만 건이었다.

과학기술정보통신부가 7월 발표한 민관합동조사 최종 결과에 따르면 SKT는 감염이 확인된 HSS(음성통화인증) 관리 서버 계정 정보를 타 서버에 평문으로 저장해 공격자가 이를 활용할 수 있었고, 2022년 악성코드에 감염된 서버를 발견해 조치했으나 정보통신망법상 신고 의무를 이행하지 않았다. 더불어 유심 복제에 활용될 수 있는 ‘유심 인증키(Ki) 값’을 암호화하지 않고 저장했다.

과기정통부는 SKT가 침해사고 대응과정에서 정보통신망법 준수 의무 2가지를 위반했다고 지적했다. 침해사고 인지 후 24시간 이내 과기정통부 또는 KISA에 신고해야 하나, 이 기간이 지난 후 신고했다. 또, 과기정통부가 침해사고 원인 분석을 위해 4월 21일 17시 자료 보전을 명령했으나 SKT는 같은 날 19시 서버 2대를 포렌식이 불가능한 상태로 임의 조치 후 조사단에 제출했다. 이외에도 보안 관리·공급망 보안·정보보호 거버넌스 체계가 미흡했고, 타사 대비 정보보호 인력 및 투자 규모도 부족했다고 꼬집었다.

8월 말부터 9월 초에는 경인권 KT 이용자들을 중심으로 휴대전화 소액결제가 무단으로 이뤄졌다는 피해 신고가 잇따랐다. KT는 사건 초기 고객 개인 기기의 스미싱 감염으로 판단했으나, 9월 8일 미등록 기지국이 내부망에 접속한 사실을 발견하고 KISA에 신고했다.

KT 침해사고는 펨토셀(Femtocell) 장비를 기반으로 만들어진 ‘차량 탑재형 가짜 기지국(FBS)’이 원인으로 밝혀졌다. 펨토셀은 음영지역 해소 및 실내 통화·데이터 품질 개선에 쓰이는 소형 기지국 장비다. 휴대전화는 주변 기지국 신호 중 가장 강한 신호를 송출하는 기지국에 자동으로 접속하는데, 가짜 기지국이 실제 기지국보다 강력한 신호를 송출해 해당 지역 휴대전화의 연결을 유도해 암호화를 해제하고 정보를 가로챈 것이다.

10월 17일 중국 국적의 조선족 용의자 2명이 경찰에 검거됐다. 여러 매체의 보도를 따르면, 이들은 중국에 있는 윗선의 지시를 받아, 신호가 잘 잡히는 새벽시간에 수도권을 돌아다니며 휴대전화를 해킹했다.

과기정통부가 11월 6일 발표한 KT 침해사고 중간 조사 결과에 따르면, 민관합동조사단은 2024년 8월 1일부터 올해 9월 10일까지 기지국 접속 이력 및 결제 데이터를 분석해 불법 펨토셀 20개에 접속한 2만 2천227명의 IMSI와 단말기 식별번호(IMEI) 및 전화번호 유출 정황, 소액결제 피해자 386명의 2억 4천319만 원 규모 소액결제 피해를 파악했다.

조사단은 KT의 펨토셀 관리 체계가 부실해 불법 펨토셀이 내부망에 쉽게 접속할 수 있는 환경이었다고 지적했다. 모든 펨토셀이 동일한 인증서를 사용해 해당 인증서를 복사하면 불법 펨토셀도 KT 망에 접속 가능했고, 인증서 유효기간이 10년으로 설정돼 한 번이라도 접속 이력이 있으면 지속적으로 접속할 수 있었다.

펨토셀에 탑재되는 중요정보도 보안관리 체계 없이 제작 외주사에 제공했고, 장치에서 해당 정보를 쉽게 확인하고 추출할 수 있었다. 내부망 접속 인증과정에서 비정상 IP를 차단하지도 않았고, 펨토셀의 형상정보(제품 고유번호·설치 지역번호 등)와 KT 망에 등록된 정보 간 일치 여부도 검증하지 않았다.

조사단은 전문가 의견 청취와 KT 통신망 테스트베드 실험을 통해, 불법 펨토셀을 거쳐 통신 종단 암호화를 해제할 수 있었고 이후 인증정보(ARS, SMS)를 평문으로 취득할 수 있었다고 판단했다.

조사단은 서버 포렌식을 통해 과거(2024년 3월~7월) KT에 악성코드 침해사고가 발생했고 이를 KT가 임의 처리한 사실을 확인했다. 정보통신망법상 신고 의무 위반이다. KT는 9월 5일 무단 소액결제 관련 이상 통신 호 패턴을 발견해 차단 조치했음에도, 불법 펨토셀 ID를 확인한 후 9월 8일에야 지연 신고하기도 했다.

한편, 8월 글로벌 해킹 전문지 ‘프랙 매거진(Phreak Magazine)’에는 미국 해커 Saber가 북한 해킹 공격그룹 김수키(Kimsuky)의 PC를 해킹한 보고서를 공개했다.

정보보안 유튜브 채널 ‘Normaltic Place’ 및 프랙 매거진을 인용한 보도를 종합해 보면, 미국 해커는 해당 PC에서 ‘국군방첩사령부 피싱 공격 정황’·‘외교부 웹서버 소스코드’·‘정부업무관리시스템(온나라) 내부망과 통신 흔적’·‘LG U+ 내부 서버 8천938대와 계정 4만 2천526개의 정보, 직원 167명의 실명·계정 정보’·‘KT 웹서비스 서버 인증서·개인키 파일 유출 정황’ 등을 발견했다.

KT와 LG U+는 해킹 공격을 당한 흔적은 없으나, 보고서에서 언급된 데이터는 자사 정보라고 인정했다. 하지만 정부 브리핑에 따르면, KT는 8월 1일 관련 서버를 폐기했다고 KISA에 답변했으나 실제로는 8월 1일(2대), 6일(4대), 13일(2대)에 걸쳐 폐기했다. 또한 폐기 서버 백업 로그가 있음에도 9월 18일까지 보고하지 않았다. 조사단은 KT가 정부 조사 방해를 위한 고의성이 있다고 판단하고 10월 2일 수사 의뢰했다.

또한, 프랙 보고서에서는 김수키가 LG U+의 서버 관리와 접근 제어 솔루션을 맡은 시큐어키를 통해 정보를 얻고 LG U+ 내부망에 침투했다고 설명했다. 시큐어키는 KISA에 해킹 피해를 신고했다. 이에 과기정통부가 8월 11일 LG U+에 자체 조사 결과를 요청하자, LG U+는 13일 해킹 흔적이 없다고 답변했다. 그러나 12일 LG U+가 해킹 의심 서버의 운영체제(OS)를 재설치한 것으로 드러나면서 ‘서버 폐기’ 의혹이 일었다. 결국 10월 23일 LG U+는 KISA에 해킹 의심 정황을 신고했다. 정부는 11월 7일 민관합동조사단이 구성돼 서버·내용·로그 등을 정밀하게 살펴보고 있다고 전했다.

행정안전부는 10월 17일 브리핑을 열고 7월 중순 경 국가정보원으로부터 외부 PC에서 정부원격근무시스템인 GVPN을 통해 온나라 시스템에 접근한 정황을 확인했고, 8월 4일 GVPN 접속 시 행정전자서명 인증과 더불어서 전화인증 ARS를 함께 거치도록 보안 체계를 강화했다고 밝혔다.

이 외에도 올해 한국에서는 ▲YES24 서비스 마비 사태(6월, 8월) ▲SGI보증보험 랜섬웨어 사태(7월) ▲롯데카드 개인정보 유출 사건(9월) ▲SK 쉴더스 허니팟 보안사고(10월) ▲넷마블 해킹(11월) ▲쿠팡 개인정보 유츨(11월) 등 굵직한 사이버 침해 사건이 이어졌다.

구글 클라우드의 ‘구글 위협 인텔리전스 그룹(Google Threat Intelligence Group)’은 최근 ‘2026년 사이버 보안 전망 보고서(2026 Cybersecurity Forecast Report)’를 발표했다.

보고서는 내년부터 AI(인공지능)가 사이버 공격의 새로운 표준으로 자리 잡을 것이라고 내다봤다. 멀티모달 생성형 AI를 적극 활용해 보이스 피싱 공격의 성공률을 높이면서, 초현실적인 대규모 비즈니스 이메일 침해(BEC) 공격이 이뤄질 수 있다는 것이다.

랜섬웨어와 데이터 탈취 및 갈취도 주요 공격 그룹의 주도하에 이어진다고 예측하기도 했다. 아시아태평양 지역에서는 아세안정상회의(ASEAN Summit)·APEC 경제지도자회의(APEC Economic Leaders’ Meeting)·태평양제도포럼(Pacific Islands Forum) 등 주요 정치 및 안보 정상 회의를 표적으로 하는 정치적 스파이 활동 증가가 예상되며, KT 침해 사고에 쓰인 FBS를 활용한 위협이 지속될 것으로 전망했다.

뒤로 기사목록

산업일보 영상뉴스 모아보기

산업일보 페이스북 바로가기

김대은 기자 kde125@kidd.co.kr

이 기자의 다른기사 보기 >