해커들 석달간 무려 12660000번 접속…KT, 까맣게 몰랐다

황창규 케이티(KT) 신임 회장이 27일 오전 서울 서초구 우면동 KT연구개발센터에서 열린 임시주주총회에서 주주들의 의견을 듣고 있다. 연합뉴스

개인정보 유출 사건 조사 결과

특정 IP로 하루 34만번 접속도
홈페이지서 가입자 정보 조회 때
별도 본인 확인 절차 안 둬 ‘구멍’

‘케이티(KT) 가입자 981만명 개인정보 유출’ 사고는 케이티가 홈페이지에서 고객서비스 계약번호로 가입자 정보를 조회할 때 별도 본인 확인 절차를 두지 않은 바람에 일어난 것으로 드러났다. 또 해커들은 같은 아이피(IP) 주소로 하룻새 최고 30여만번 케이티 홈페이지에 접속했지만, 회사 쪽은 아무런 낌새도 눈치채지 못했다.

미래창조과학부는 케이티 고객 개인정보 유출 사건과 관련한 해킹 경로와 수법 등에 대한 민관합동조사단 조사 결과를 25일 발표했다. 조사단은 최근 3개월 동안 케이티 홈페이지 접속기록(538기가바이트)을 살펴본 결과, 해커들이 홈페이지에 1266만번 접속한 기록(로그)을 확인했다고 설명했다. 하루 평균 10만여번씩 케이티 홈페이지에 접속해 개인정보를 빼내온 셈이다.

특정 IP로 하루 34만번 접속도
홈페이지서 가입자 정보 조회때
별도 본인 확인절차 안둬 ‘구멍’

해커들은 홈페이지에서 자신의 아이디로 로그인한 뒤 타인의 고객서비스 계약번호를 변조해 입력하는 방식으로 타인의 개인정보를 수집해온 것으로 조사됐다. 홈페이지에서 고객서비스 계약번호를 입력하면 가입자 정보를 조회할 수 있는데, 고객서비스 계약번호를 입력한 사람이 당사자인지 확인하지 않는 점을 악용해 해킹이 이뤄졌다는 얘기다.

미래부는 “개인정보 데이터베이스 조회 때 고객서비스 계약번호의 본인 여부를 검증하는 단계가 애초부터 없었다. 보안장비 접속 기록을 분석한 결과, 특정 아이피에서 하루 최대 34만1000여건의 접속이 이뤄졌지만, 케이티는 이를 감지해내지 못했다”고 지적했다.

합동조사단은 이와 별도로 해커들이 또다른 해킹 프로그램을 이용해 본인 확인 없이 가입자 정보를 조회할 수 있는 9개 케이티 관련 홈페이지에 접속한 8만5999건의 기록을 찾아냈다고 밝혔다. 애초 경찰은 해커들이 웹 응용프로그램이나 웹사이트 보안 취약점을 분석하기 위한 목적의 파로스 프로그램을 변조해 해킹 프로그램으로 활용했다고 밝혔는데, 또다른 해킹 프로그램 사용 사실이 추가로 드러난 셈이다.

미래부는 “검찰·경찰·방송통신위원회 등과 관련 정보를 공유하고 케이티에 보안조치를 하도록 했다. 유사 피해의 추가 발생을 방지하기 위해 통신사, 포털, 쇼핑몰, 웹하드 등 업체에도 취약점 점검·보완 조치를 요청했다”고 밝혔다.

이순혁 기자 [e-mail]