가짜 기지국·유심 복제 해킹 수법 추정
가짜 기지국 해킹, 아직 국내 사례는 없어…KT, 국내 첫 사례 될까
최초 신고 10일 뒤 공지…KT ‘늑장 대응’ 논란

[보안뉴스 여이레 기자] 최근 수도권을 중심으로 KT 이용자를 겨냥한 무단 소액결제 피해가 급증하면서 경찰과 정부가 원인 규명에 나섰다. 피해자가 KT 가입자라는 점에서, 가짜 기지국이나 유심 복제를 악용한 해킹 수법이 쓰였을 가능성이 주목받고 있다.


[자료: gettyimagesbank]

10일 과학기술정보통신부에 따르면, KT는 이번 침해사고 원인 중 하나로 불법 초소형 기지국 통신망 접속 가능성을 제기했다. 해커가 유령 기지국을 만들어 확보한 KT 고객 정보를 소액결제 범죄에 악용했다는 것이다.

과기정통부는 “불법 초소형 기지국을 활용해 정보 탈취가 이루어졌는지, 소액결제 방식이 어떻게 이뤄졌는지 정밀 조사를 진행 중”이라며 “민관합동조사단을 꾸려 현장 조사를 본격화하고 있다”고 밝혔다.

초소형 기지국 악용했나?
해커가 초소형 기지국 펨토셀을 무단 소액결제 범행에 악용했을 가능성이 제기된다. KT는 2013년 세계 최초로 광대역 LTE 홈 펨토셀을 개발해 상용화에 나선 바 있다.

펨토셀은 반경 약 10m 내 통신을 제공하는 초소형 기지국으로, 가정이나 소규모 사무실에서 데이터 분산과 음영지역 해소를 위해 주로 쓴다. 이를 불법 설치해 가짜 기지국으로 활용한 것이란 추정이다.

해외에서는 이미 가짜 기지국을 이용한 통신 해킹 사례가 다수 보고된 바 있으나, 국내에선 아직 확인된 사례가 없다. 이번 소액결제 사건이 이 방식에 의한 것이라면 관련한 국내 첫 사례가 된다.

‘IMSI 캐처’ 등의 가짜 기지국 장비는 정상 이동통신 기지국으로 위장해 휴대폰과 연결되며 통신 내용을 가로채거나 암호화 수준을 이전 세대 통신망으로 강제 하락시켜 도청 및 정보 탈취, SMS 위장 전송 등에 악용하는 사례가 잦다. 과거 2세대(G) 통신망은 보안 취약점이 있어 불법 감청이 비교적 쉬운 프로토콜로 알려져 있으며, 이에 따라 통신사들은 4G LTE나 5G로 넘어가며 보안을 강화했다. 하지만 강제 하락 공격은 위험 요인으로 남아 있다.

세계 곳곳에서 유사 사례
실제 올해 터키에선 차량에 설치한 불법 기지국을 이용한 대규모 스미싱과 개인정보 탈취가 적발된 바 있다. 외국인 조직이 차량에 불법 가짜 기지국을 설치해 합법적 기업이나 기관을 사칭한 SMS를 대량 발송하는 방식으로 피싱 범죄를 벌였다. 해커들은 이 방법으로 피싱 메시지를 보내 대량의 개인정보를 빼내어 범죄에 악용했다.

지난달엔 중국 사기 조직에 고용된 한국인이 가짜 기지국을 실은 차로 태국 방콕 시내를 돌면서 사기성 문자메시지를 보내다 체포되는 일도 있었다. 정상 기지국에서 보내는 것처럼 위장해 신호를 송출, 인근 휴대폰이 접속되게 해 피싱 문자를 보내는 방식이었다.

2023년 노르웨이에선 국제 범죄 조직이 가짜 기지국 장비로 정부기관 인근 휴대폰 정보를 빼내다 검거됐다. 이들은 차량에 IMSI 캐처를 싣고 정부기관 인근을 돌며 통신 도청을 시도하다 경찰에 체포됐다. 수사 결과 이들은 체계적으로 통신 감청과 개인 데이터 탈취를 벌여왔으며, 이를 정교한 사기에 악용한 것으로 드러났다.

미국, 영국, 중국, 인도 등지에서도 가짜 기지국 장비가 저렴하게 유통되며 휴대폰 신원 위조, 문자 스팸, 불법 광고, 도청 및 인증 우회 등 다양한 해킹 공격이 수년째 기승을 부리고 있다. 2018년 미국 워싱턴 D.C. 등에선 IMSI 캐처와 같은 간첩용 불법 감청장치가 실제 탐지돼 정부 공식 보고가 이루어진 바 있다. 이러한 불법 장비는 민간은 물론 해외 정보기관과 해커들에 의해 악용되고 있는 실정이다.

다만 KT는 “기 운영 중인 기지국 중 해커가 사용한 불법 초소형 기지국 및 다른 불법 초소형 기지국이 존재하지 않음을 확인했다”며 “과기정통부의 요구에 따라 신규 초소형 기지국의 통신망 접속을 지난 9일 오전 9시부터 전면 제한했다”고 밝혔다.

늑장 대응도 논란
또 하나의 가능성은 유심 복제다. 유심 복제는 국내 발생 사례가 있고, 해외에서도 자주 일어나는 해킹 사고다. 이에 관해 KT는 “유심 복제 가능성은 매우 낮다”며 “유심 복제가 이뤄졌다면 KT 자체 시스템으로 미리 탐지했을 것”이라고 했다.

이어 KT는 “현재 비정상 소액결제 행위에 대한 차단을 모두 실시한 상태고 소액결제 피해를 입은 소비자에게 해당 금액에 대한 청구도 하지 않는 등 KT는 금전적인 피해가 가지 않도록 사전 조치를 하고 있다”고 덧붙였다.

KT의 ‘늑장 대응’에 대한 비판도 제기된다. 경찰 조사에 따르면 소액결제 피해 최초 신고는 지난달 27일 접수됐다. 이후 비슷한 유형의 피해 신고가 계속 들어왔음에도 불구하고 KT는 첫 신고로부터 10일이 지난 이달 6일에서야 홈페이지에 관련 공지사항을 게시했다.

피해 신고가 연이어 접수되는 상황에서도 즉각적인 고지나 예방 조치가 이뤄지지 않아 추가 피해가 확산됐을 가능성이 제기되는 상황이다. 민주당 황정아 의원실은 “경찰이 1일 KT에 접촉해 이상 사실을 알렸음에도, 8일 제출한 (KISA) 침해 사실 신고서엔 피해 사실 인지 전 이상 징후는 ‘없었음’으로 신고했다”며 허위 신고 의혹도 제기했다.

[여이레 기자(gore@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>