쿠팡 고객 3370만명의 개인정보 유출은 몸집만 키우고 보안은 뒷전인 기업, 법 개정 등 제도 개선에 손 놓고 있었던 국회와 정부가 만들어낸 예견된 사태라는 목소리가 커지고 있다. 지난 4월 SK텔레콤(SKT) 유심(USIM·가입자 식별 모듈) 정보 유출 사태 이후 7개월이 넘도록 개인정보보호법 개정안은 단 한 건도 국회 문턱을 넘지 못했다. 소비자 불만이 폭발할 때 일시적으로 법안 발의가 이뤄지고, 정작 실질적인 법 개정으로 이어지지 않은 셈이다. 그 결과 개인정보 유출 이후 기업의 신속한 대응, 강제성 있는 조사, 처벌 강화 등은 여전히 기대하기 어려운 상황이다. 2일 서울신문 취재를 종합하면, SKT 해킹 사태가 발생한 4월부터 이날까지 7개월 동안 발의된 개인정보보호법 개정안은 모두 22건이지만, 모두 소관위원회인 정무위원회 심사 단계 문턱도 넘지 못했다. 발의된 의안 중 유출된 개인정보가 누구 것인지 특정할 수 없을 때 모든 정보주체에게 신속하게 법정 통지사항을 알리는 내용이 8건에 달한다. 하지만 법안 통과가 늦어지면서 이번 쿠팡 사태에서도 뒤늦게 안내를 받는 사례가 속출하고 있다. 곽진 아주대 사이버보안학과 교수는 “소비자가 스미싱 등 2차 범죄에 대응하려면 정보유출 여부를 사전에 아는 것이 매우 중요하다”고 말했다. 민관합동조사단의 조사도 사실상 강제력이 없다는 지적이 이어졌으나 이 부분 역시 개선되지 않고 있다. 국회입법조사처는 지난 5월 ‘통신사 해킹 사고 사후대응의 문제점과 입법과제’를 통해 “사업자가 자료 제출을 거부해도 제재는 1000만원 이하 과태료 부과에 그친다. 이를 상향하거나 이행강제금을 부과해 조사 강제력을 강화해야 한다”고 지적했다. 개인정보 유출 관련 제도 개선이 이뤄지지 않는 건 ‘보안=비용’으로 보는 인식이 커서다. 한국인터넷기업협회도 관련 법 개정에 대해 국회 정무위원회에 “신중한 검토가 필요하다”는 의견을 제출했다. 김명주 서울여대 지능정보보호학부 교수는 “기업 입장에서는 개인정보 보호 관련 규제가 ‘비용’이기 때문에 의견 협의가 이뤄지지 않고 있다”고 말했다. 황석진 동국대 국제정보보호대학원 교수는 “여야는 관련 법안을 민생 법안으로 보고 서둘러 제정해야 한다”고 건의했다. 박대준 쿠팡 대표는 이날 국회 과학기술정보방송통신위원회 긴급 현안질의에서 ‘김범석 쿠팡 의장이 사과할 의향은 없느냐’는 이훈기 더불어민주당 의원의 질의에 “제가 현재 이 사건에 대해 전체 책임을 지고 있다. 한국 법인 대표로서 사태를 해결하겠다”고 말했다. 한편 민관합동조사단을 꾸리고 쿠팡의 개인정보 유출 사고 조사에 나선 과학기술정보통신부는 현안질의에서 “식별된 공격 기간은 지난 6월 24일부터 11월 8일까지”라고 공식 발표했다. 총 138일 간이다. 류제명 과기정통부 2차관은 “3000만개 이상 계정의 개인 정보가 유출됐다”며 “KT 무단 소액결제 사고처럼 ‘관리 부실’이 이번 쿠팡 개인정보 유출 사고의 배경”이라고 밝혔다. 아울러 금융감독원은 쿠팡의 결제 자회사 쿠팡페이에 대해 일주일간 현장조사에 착수했다.

中업체, 고객 타기팅 정교화 우려SKT 사태보다 심각한 피해 예상배송지는 계정보다 더 많이 유출주소 이용 실제 범죄도 대응해야 쿠팡에서 국내 인구 4분의3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생한 가운데 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 명예교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠 갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있는 만큼 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보가 복제폰을 만드는 데 악용될 수 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에 쓰일 가능성에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼 있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 말했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유는 중국에 개인정보가 유출되는 걸 우려하기 때문인데, 이번 사태로 어떤 제품을 샀는지 기질·성향을 나타내는 개인 식별 정보가 넘어가게 될 경우 중국 이커머스가 고객 타기팅을 더 정교화하는 데 쓰일 수 있다”고 지적했다. 이 경우 쿠팡뿐 아니라 국내 이커머스 산업 전체가 타격을 받을 수도 있다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”며 “이 경우 2차 피해가 즉각 일어나지 않고 소비자 경계가 느슨해진 뒤에 발생하기 때문에 쿠팡 때문인지 알 수 없게 되는 등 원인과 규모를 특정하기도 어려워 소비자 피해는 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개 이상의 배송지 정보를 입력했을 가능성이 높기 때문이다. 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이라는 전망도 나온다.

쿠팡의 대규모 개인정보 유출로 보이스피싱·스미싱(문자로 악성 링크 클릭을 유도하는 피싱 공격) 등 2차 범죄에 대한 경계가 필요한 상황이다. 30일 한국인터넷진흥원(KISA)과 전문가 조언 등을 토대로 상황별 행동 요령을 정리했다. Q. 문자메시지로 ‘피해 보상 신청’ 혹은 ‘환불’ 링크를 받았다면. A. 정보 유출 시 가장 흔한 2차 피해는 피해 보상 신청이나 환불 등을 빌미로 악성 링크를 보내는 스미싱이다. 출처가 불분명한 사이트 주소(링크)가 포함된 문자메시지를 받은 경우 클릭하지 말고 즉시 삭제해야 한다. 카카오톡 채널 ‘보호나라’를 활용하면 스미싱·피싱 의심 사이트를 조회하고 신고할 수 있다. 유출 사실 통보나 보상·환불 절차 안내를 가장해 전화로 원격 제어 앱을 설치하라고 하는 식의 보이스피싱 수법도 조심해야 한다. 기관이나 금융회사는 전화나 문자로 앱 설치나 사이트 접속을 요구하지 않는다. Q. 모바일 결제 피해를 막으려면. A. 유출된 개인정보가 모바일 결제나 휴대전화 개통·계좌 개설에 무단으로 사용될 위험도 있다. 이동통신사 고객센터를 통해 소액결제 내역을 수시로 확인하고 이상이 있으면 경찰에 신고해야 한다. 아울러 명의도용 방지 서비스나 비대면 계좌 개설 안심 차단 서비스 등을 신청하면 추가 피해를 줄일 수 있다. Q. 해외 직구를 자주 한다면. A. 쿠팡이 유출된 개인정보 항목에 ‘일부 주문 정보’가 있었다고 밝히면서 관세청 전자통관시스템을 통해 개인통관고유부호를 재발급받는 소비자들도 있다. 누군가 자신의 고유부호를 이용해 해외에서 사기 주문을 할 수 있다는 우려 때문이다. 개인통관고유부호는 세관 통관절차를 위해 사용되는 개인 식별번호로, 한 사람당 하나의 부호가 부여된다. 쿠팡 측은 “현재까지 확인된 사항에 따르면 개인통관부호는 노출되지 않았다”고 밝혔다. Q. 내 정보가 다크웹에서 유통되는지 확인하려면. A. 개인정보보호위원회가 운영하는 ‘개인정보포털’을 이용하면 ‘다크웹’ 등 음성화 사이트에서 자신의 정보가 유통되고 있는지 확인할 수 있다.

쿠팡에서 국내 인구 4분의 3에 이르는 약 3370만개의 고객 계정 정보가 유출되는 사고가 발생하자, 앞선 SK텔레콤 유심(USIM·가입자 식별 모듈) 정보 노출과 KT의 무단 소액결제 및 해킹 사태 때보다 피해가 훨씬 심각할 수 있다는 우려가 나왔다. 염흥열 순천향대 정보보호학과 교수는 30일 서울신문과의 통화에서 “통신 3사는 시장을 나눠갖기에 한 기업에서 고객 정보 유출 사고가 발생해도 전체 국민이 피해를 보는 건 아니지만 쿠팡은 국민 대다수가 이용하고 있어서 정보 유출 사고로서는 역대급일 것”이라고 설명했다. 염 교수는 특히 2차, 3차 피해 가능성이 통신사의 개인정보 유출 사고보다 심각하다고 설명했다. SK텔레콤의 해킹 사건은 탈취된 유심 정보로 복제폰을 만드는데 악용될 가능성이 있어 유심을 교체하는 조치가 필요했다면, 쿠팡에서 유출된 정보의 경우 온라인 범죄는 물론 실제 범죄에도 대비해야 한다는 것이다. 염 교수는 “전화번호와 주소가 같은 데이터베이스 안에 매핑돼있어 전화번호만 알면 주소를 알 수 있다. 주소에 접근해 물리적 범행을 할 가능성도 존재하기에 추가 범행을 막을 조치가 필요하다”고 했다. 김명주 서울여대 지능정보보호학부 교수는 “국내 소비자가 알리바바나 테무 등 중국 이커머스를 사용하지 않고 쿠팡을 택한 가장 큰 이유가 중국에 개인정보가 넘어갈까봐였는데, 이번 사태로 개인이 식별되는 정보가 넘어가게 될 경우 중국 이커머스가 고객 타겟팅을 더 정교화하는데 쓰일 수 있다”고 말했다. 김 교수는 “다크웹을 이용해 다른 사이트에서 유출된 정보와 결합하면 새로운 범죄 가능성이 커진다”면서 “3차 피해는 쿠팡 때문인지 특정할 수도 없고 피해 규모를 규명하기도 어려워 소비자 피해가 더 커질 수 있다”고 경고했다. 특히 배송지 정보는 유출된 고객 계정 수인 3370만개보다 더 많이 유출됐을 가능성도 제기된다. 쿠팡에서는 주문을 하고 본인이 수령하는 경우뿐 아니라 지인·가족에게 보내기 위해 1인당 2~3개의 배송지 정보를 입력했을 가능성이 높기 때문이다. 이 경우 정보가 유출되고도 통지를 받지 못한 사람이 상당할 것이란 전망도 나온다. 전문가들은 피해를 본 소비자라면 보이스피싱, 스미싱 등에 유의할 것을 당부했다. 한국인터넷진흥원(KISA)은 출처가 불분명한 사이트 주소(링크)가 포함된 문자 메시지를 받은 경우 클릭하지 말고 바로 삭제하라고 권고한다. 의심되는 사이트 주소는 정상 사이트와 일치하는지 확인하는 편이 좋다. 카카오톡 채널 ‘보호나라’를 활용해 스미싱·피싱 사이트 여부를 확인하고 신고할 수 있다. 번호 도용 가능성이 의심된다면 이동통신사에서 제공하는 ‘번호도용문자 차단서비스’를 신청할 수 있다. 개인정보보호위원회가 운영하는 ‘개인정보포털’은 개인정보의 다크웹 유출 여부, 분쟁 조정 등의 서비스를 제공한다.

KT가 차기 대표이사(CEO) 선임 절차에 들어간 가운데 KT 노동조합이 “낙하산 인사는 용납할 수 없다”며 CEO 선임 절차에 노조 참여를 선언했다. KT 노조는 12일 성명서를 내고 “차기 CEO는 외풍으로부터 자유롭고 통신의 전문성과 경영 능력을 겸비해야 하며, 구성원의 지지를 받는 인물이 선임돼야 한다”며 이렇게 주장했다. 노조는 정권 교체기마다 반복된 외풍 문제를 언급하며 “CEO 선임 절차는 누가 봐도 투명해야 하며 낙하산 인사는 결단코 용납할 수 없다”면서 “이사회후보추천위원회는 정치권과 외부 세력의 입김에서 완전히 벗어나야 한다”고 강조했다. 김영섭 KT 대표이사는 지난 4일 KT 이사회에서 연임 포기 의사를 밝혔고, 이사회는 곧바로 차기 대표이사 선임 절차를 개시했다. 김 대표는 최근 발생한 KT 서버 침해와 무단 소액결제 사고로 인해 최고경영자로서 책임을 질 수밖에 없는 상황이었지만, 결과적으로 정권이 바뀔 때 수장이 교체되면서 2002년 민영화 이후 KT의 CEO 수난사가 되풀이되고 있다는 비판이 제기됐다. 민영화 이후 연임에 성공해 임기를 채운 CEO는 황창규 전 회장이 유일하다. KT 노조는 또 “최근의 네트워크 보안 해킹 사태 등 일련의 문제는 KT의 근간인 통신 본연의 기술력과 내부통제 시스템이 등한시된 결과”라며 통신 전문가가 수장을 맡아야 한다고 주장했다. 아울러 차기 CEO는 고객과 업계 이해관계자에 대한 이해도가 높고, 경영의 연속성과 구성원의 화합을 중시하는 리더십을 갖춰야 한다고 제시했다. 이와 함께 KT 노조는 CEO 선임 절차에 참여할 것을 공식 선언했다. KT 노조는 “CEO 선임에 있어 정치와 단절하는 민주적 선례를 정착하고 KT를 정치권의 제물이 아닌 KT에게 돌려주기를 강력히 희망한다”고 밝혔다. 그러면서 “이러한 원칙이 훼손되고 과거의 낙하산 인사나 불투명한 결정이 재현되면 전 조합원의 뜻을 모아 강력히 대응할 것”이라고 말했다.

차기 대표 선임 돌입한 KT 이사회민영화 이후 반복되는 CEO 수난사“통신 전문·구성원 화합 리더 돼야” KT가 차기 대표이사(CEO) 선임 절차에 들어간 가운데 KT 노동조합이 “낙하산 인사는 용납할 수 없다”며 CEO 선임 절차에 노조 참여를 선언했다. KT 노조는 12일 성명서를 내고 “차기 CEO는 외풍으로부터 자유롭고 통신의 전문성과 경영 능력을 겸비해야 하며, 구성원의 지지를 받는 인물이 선임돼야 한다”며 이렇게 주장했다. 노조는 정권 교체기마다 반복된 외풍 문제를 언급하며 “CEO 선임 절차는 누가 봐도 투명해야 하며 낙하산 인사는 결단코 용납할 수 없다”면서 “이사회후보추천위원회는 정치권과 외부 세력의 입김에서 완전히 벗어나야 한다”고 강조했다. 김영섭 KT 대표이사는 지난 4일 KT 이사회에서 연임 포기 의사를 밝혔고, 이사회는 곧바로 차기 대표이사 선임 절차를 개시했다. 김 대표는 최근 발생한 KT 서버 침해와 무단 소액결제 사고로 인해 최고경영자로서 책임을 질 수밖에 없는 상황이었지만, 결과적으로 정권이 바뀔 때 수장이 교체되면서 2002년 민영화 이후 KT의 CEO 수난사가 되풀이되고 있다는 비판이 제기됐다. 민영화 이후 연임에 성공해 임기를 채운 CEO는 황창규 전 회장이 유일하다. KT 노조는 또 “최근의 네트워크 보안 해킹 사태 등 일련의 문제는 KT의 근간인 통신 본연의 기술력과 내부통제 시스템이 등한시된 결과”라며 통신 전문가가 수장을 맡아야 한다고 주장했다. 아울러 차기 CEO는 고객과 업계 이해관계자에 대한 이해도가 높고, 경영의 연속성과 구성원의 화합을 중시하는 리더십을 갖춰야 한다고 제시했다. 이와 함께 KT 노조는 CEO 선임 절차에 참여할 것을 공식 선언했다. KT 노조는 “CEO 선임에 있어 정치와 단절하는 민주적 선례를 정착하고 KT를 정치권의 제물이 아닌 KT에게 돌려주기를 강력히 희망한다”고 밝혔다. 그러면서 “이러한 원칙이 훼손되고 과거의 낙하산 인사나 불투명한 결정이 재현되면 전 조합원의 뜻을 모아 강력히 대응할 것”이라고 말했다.

김영섭 KT 대표이사가 최근 불거진 서버 침해와 무단 소액결제 사고에 대한 경영책임을 지고 연임 포기 의사를 밝혔다. 앞서 국회 과학기술정보방송통신위원회 국정감사에서 “총체적 경영책임이 있는 만큼 합리적인 수준의 책임을 지는 것이 마땅하다”며 사퇴를 포함한 포괄적 책임을 시사한 것을 이행한 것으로 보인다. KT는 아울러 희망하는 전 고객을 대상으로 유심(USIM) 무상 교체를 시행한다. KT 이사회는 4일 회의를 열고 김 대표의 거취를 논의하는 동시에 차기 대표이사 선임 절차 개시 안건을 상정하고 의결했다. 이 자리에서 김 대표가 연임 포기 의사를 밝혀 KT는 이날부터 차기 CEO 공모 절차에 착수했다. KT 정관에 따라 대표이사 임기 만료 최소 3개월 전까지 후보군을 구성해야 한다. 차기 대표 선임은 사외이사 8명으로 구성된 대표이사후보추천위원회가 주도하며, 최종 후보 1인은 주주총회 결의를 거쳐 확정된다. 공개 모집은 5일 오전 9시부터 16일 오후 6시까지 진행된다. 이사회는 기존 사이버 침해 피해 고객만을 대상으로 하던 유심 무상 교체 범위를 전 고객을 대상으로 확대하는 안도 의결했다. 이에 따라 5일 오전 9시부터 KT닷컴 홈페이지를 통해 접수한 고객을 대상으로 유심 무상 교체 서비스를 시작한다. 유심 교체를 희망하는 고객은 KT닷컴 또는 유심교체 전담센터를 통해 예약 후 전국 KT 대리점에서 유심 교체가 가능하다. 대리점 방문이 어려운 고객을 위해 오는 11일부터 택배 배송을 통한 셀프 개통 서비스도 운영한다. 김 대표가 연임을 포기하면서 2002년 민영화된 이후 반복돼 온 KT의 ‘CEO 수난사’가 이어지고 있다는 평가를 피할 수 없게 됐다. 김 대표 이전까지 재직한 5명의 CEO 중 황창규 전 회장, 단 한 명만이 임기를 모두 채우고 연임에 성공했으며, 나머지 4명은 정권이 바뀔 때마다 거취에 발목이 잡혔다. 민영화 초대 대표인 이용경 전 사장은 노무현 정부 시기에 연임 도전을 스스로 철회했으며, 구현모 전 대표 역시 윤석열 정권이 들어서면서 연임 도전이 좌초됐다. 심지어 연임에 성공했던 남중수 전 사장과 이석채 전 회장은 각각 이명박 정부와 박근혜 정부 출범 직후 납품비리나 배임 혐의로 임기 중 중도 낙마하는 이례적인 사태를 겪었다. KT의 소수 노조인 KT새노조는 이사회가 열린 4일 서울 광화문 KT 본사 앞에서 기자회견을 열고 김영섭 대표의 즉각 퇴진과 공공성 회복을 강력히 촉구했다.

무단 소액결제 피해 등이 발생한 KT가 5일부터 유심 교체를 희망하는 전 고객을 대상으로 유심 무상 교체를 시행한다. 무단 소액결제 피해 사고 발생이 확인된 경기 광명시, 서울 금천구 등 일부 지역을 대상으로 우선 접수하며, 다음달 중 접수 지역을 확대한다. KT는 최근 발생한 무단 소액결제 피해 및 개인정보 유출에 대해 다시 한번 사과드린다며 오는 5일 오전 9시부터 KT닷컴 홈페이지를 통해 접수한 고객을 대상으로 유심 무상 교체 서비스를 시작한다고 4일 밝혔다. 유심 교체를 희망하는 고객들은 KT닷컴 또는 유심교체 전담센터를 통해 예약 후 전국 KT 대리점에서 유심을 교체할 수 있다. 대리점 방문이 어려운 고객을 위해 이달 11일부터는 택배 배송을 통한 셀프 개통 서비스도 운영한다. 앞서 KT는 무단 소액결제 피해를 입은 고객이 368명이며 사고에 활용된 불법 펨토셀 ID 접속 고객 수가 2만 2200여명이라고 밝힌 바 있다. KT는 시행 초기에 이들 피해자 중심으로 신청이 집중될 가능성을 고려해 피해 발생 지역을 우선 대상으로 교체를 진행하고 이후 수도권, 전국으로 단계적 확대할 예정이다. 5일부터 접수를 받는 곳은 서울 금천구 등 8개구와 경기 광명시 등 9개시, 인천 전 지역이다. 오는 19일부터 수도권, 강원 전 지역을 중심으로 유심 교체를 진행한다. 다음 달 3일부터는 전국 지역을 대상으로 유심 교체를 접수한다. KT는 KT망을 이용하는 알뜰폰 고객에게도 동일한 유심 무상 교체가 적용되며 구체적인 일정과 방법은 각 알뜰폰 사업자를 통해 추후 안내한다고 전했다. KT는 이번 조치에 대해 “앞서 피해 고객에 대한 위약금 면제 조치에 이은 추가적인 고객 보호 대책으로 통신서비스 전반의 신뢰 회복과 보안 강화를 위한 조치”라고 설명했다. KT는 소액결제 피해 고객에게 5개월간 100GB 상당 무료 데이터를 제공하기로 했다. 또 15만원 상당의 통신요금 할인 또는 단말 구매금액 할인을 지원한다. KT는 이번 조치를 계기로 고객이 안심하고 이용할 수 있는 통신 환경을 구축하기 위해 네트워크 보안과 개인정보 보호 전반을 한층 강화할 계획이라고 밝혔다. KT 측은 “앞으로도 고객 불편을 최소화하고 신뢰받는 기업으로 거듭나기 위한 근본적인 보안체계 개선과 서비스 안정화 노력을 지속하겠다”고 덧붙였다.

우리카드가 국내 카드사 중 처음으로 인도네시아에서 QR코드 기반 해외 결제와 카드 없는 출금(Cardless ATM) 서비스를 시연했다. 금융결제원 및 현지 결제사업자와 협력해 내년부터는 실물 카드 없이도 인도네시아에서 결제와 현지 통화 인출이 가능한 시스템이 가동될 전망이다. 우리카드는 지난 30일 인도네시아 자카르타에서 열린 ‘2025 인도네시아 디지털금융페스티벌(FEKDI)’에서 해외 QR결제 서비스를 시연했다고 31일 밝혔다. 이번 행사는 인도네시아 중앙은행이 주관했고, 우리카드 모바일 애플리케이션(앱)을 통해 현지 가맹점 QR코드를 직접 스캔해 결제하는 방식을 선보였다. 해당 서비스는 인도네시아 당국의 승인 절차를 거쳐 연내 대고객 오픈이 예정돼 있다. 향후 베트남 등 아시아 지역으로 확대될 계획이다. 같은 날 우리카드는 금융결제원, 인도네시아 결제사업자 아르타자사, 우리소다라은행, BRI은행과 함께 Cardless ATM서비스 구축을 위한 업무협약(MOU)도 체결했다. Cardless ATM서비스는 실물 카드 없이 QR코드로 해외 ATM에서 현지 통화를 인출할 수 있는 방식으로 운영된다. 이는 금융결제원이 추진 중인 국가 간 소액결제 연계 허브 시스템의 주요 프로젝트다. 우리카드는 모바일 앱을 통해 간편 등록 후 이용할 수 있는 전용 상품을 선보일 예정이다. 진성원 우리카드 사장은 “금융결제원과 협력해 카드사 최초로 해외 QR결제 시장에 참여하게 된 것을 뜻깊게 생각한다”며 “인도네시아를 시작으로 아시아 전역으로 QR결제 서비스를 확대할 계획”이라고 말했다.

KT가 무단 소액결제와 개인정보 유출 피해자에 대한 보상으로 5개월간 무료 데이터 100기가바이트(GB)를 제공하고, 15만원 상당의 통신비 할인 또는 휴대전화 교체 비용을 지원한다. KT는 29일 이런 내용의 보상 계획을 발표했다. 우선, 무단 소액결제와 정보 유출이 확인된 피해 고객들은 5개월간 100GB 상당의 무료 데이터를 제공한다. 또 고객들은 15만원 상당의 통신 요금 할인 또는 휴대전화 교체 비용 중 하나를 선택해 지원받을 수 있다. 통신 요금 할인은 월 휴대전화 요금에서 차감되며 기기 교체 할인은 KT에서 구매한 신규 기기로 변경 시 약정할인 금액에 추가 할인을 적용하는 방식이다. KT는 보상 대상 고객들에게 다음주 중 문자 안내를 진행할 계획이다. 아울러 KT는 고객 신뢰 회복과 유사 침해사고 재발 방지를 위해 전국 2000여개 매장을 ‘안전 안심 전문 매장’으로 전환한다고 밝혔다. 

김영섭 KT 대표가 무단 소액결제 사태와 관련해 국회의 거듭된 사퇴 요구에 사태를 수습한 뒤 최고경영자(CEO)로서 마땅한 책임을 지겠다고 밝혔다. 김 대표는 21일 국회 과학기술정보방송통신위원회 국정감사에 출석해 통신사업자 대표로서 정보통신망 침해 사고에 대한 책임을 가지느냐는 김우영 더불어민주당 의원의 질문에 이렇게 답했다. 그는 “국민께 걱정과 불안감을 드려 정말 죄송하다”면서 “제가 우선적으로 해야 할 일은 사태 수습이고, 어느 정도 수습이 되고 나면 최고경영자로서 합리적이고 마땅한 수준의 책임을 지는 것이 맞다고 생각한다”고 말했다. 직접 ‘사퇴’를 언급하진 않았지만 노종면 민주당 의원이 “사퇴를 포함한 합당한 책임이냐”고 거듭 묻자 김 대표는 “(사퇴를) 포괄하는 책임”이라고 답했다. 과방위는 올해 반복된 대규모 해킹 사태 문제를 파헤치기 위해 유영상 SK텔레콤 대표와 김 대표, 홍범식 LG유플러스 대표 등 통신 3사 CEO를 국감 증인으로 불렀다. 여야 의원들은 특히 최근 발생한 KT의 무단 소액결제 사태와 관련해 관리 부실 및 대응 문제를 추궁했다. 김 대표는 무단 소액결제 및 해킹으로 인한 개인정보 유출 피해자에 대해 “위약금 면제 고지 등 관련 절차를 진행하겠다”고 밝혔다. KT는 이날부터 위약금 면제 대상자 2만 2227명을 대상으로 위약금 면제에 해당한다는 사실을 고지하기 시작했다. 다음달 30일까지 가입을 해지하거나 다른 통신사로 이동할 때 위약금이 면제되며, 이미 위약금을 낸 면제 대상자들은 환급받을 수 있다. 다만 직접 피해를 입은 고객이 아닌 전체 이용자에 대한 위약금 면제는 조사 결과를 보고 결정하겠다는 기존 입장을 유지했다. LG유플러스도 미국 보안 전문지 ‘프랙’이 제기한 개인정보 유출 의혹과 관련해 국회 압박이 계속되자 당국에 신고하겠다는 입장을 밝혔다. 이해민 조국혁신당 의원이 한국인터넷진흥원(KISA)에 신고하겠느냐고 묻자 홍 대표는 “그렇게 하겠다”고 답했다. 그러면서 “여러 혼란과 오해가 발생하고 있어 조금 더 적극적으로 검토할 예정”이라고 덧붙였다.

배경훈 부총리 겸 과학기술정보통신부 장관이 통신사 최고경영자(CEO), 최고보안책임자(CISO)와 만나 사이버 보안 대책 강화와 인공지능(AI) 투자 활성화를 요청했다. 17일 통신 당국 등에 따르면 배 부총리는 이날 서울 종로구에서 유영상 SK텔레콤 대표, 홍범식 LG유플러스 대표 및 양 사 CISO와 연석 회동을 열어 최근 통신사에서 잇따른 해킹 사고와 이용자 정보 유출에 대한 각별한 주의를 주문했다. KT는 무단 소액결제 및 해킹 사태에 대한 조사가 진행 중이어서 제외된 것으로 알려졌다. 배 부총리는 일련의 사이버 보안 사고를 엄중하게 인식하고 있다며 국민 신뢰 회복과 해킹 예방을 위한 정보 보호 쇄신 노력을 요청했다고 과기정통부는 밝혔다. 아울러 본격적인 AI 시대를 대비해 국민 체감형 AI 서비스 제공, AI 인프라 투자, AI 스타트업 생태계 육성 등에서 통신업계의 적극적인 역할도 요청했다. 배 부총리는 “통신사는 모든 국민이 이용하는 핵심 인프라를 운영하는 만큼 보안에 대한 막중한 책무를 가지고 전사적인 노력을 다해야 한다”며 “이와 함께 국가 AI 생태계 육성을 위해서도 힘써주길 바란다”고 강조했다. 배 부총리는 지난 2일 네이버, 카카오, 쿠팡, 우아한형제들 등 주요 플랫폼사 CEO, CISO와도 연석회의를 열어 정보 보호 강화를 주문했다.

KT가 정식 관리하지 않는 불법 기지국(펨토셀) 접속으로 인한 개인정보 유출 의심 및 무단 소액결제 피해 규모가 대폭 확대된 것으로 확인됐다. KT는 17일 서울 광화문 사옥에서 기자회견을 열고 전수 조사 결과 불법 기지국 ID가 4개에서 20개로 증가했으며, 해당 기지국에 접속한 이력이 있는 이용자는 2만 2227명에 달한다고 발표했다. 무단 소액결제가 일어난 지역은 강원도까지 확산된 것으로 나타났다. KT의 전수 조사 결과에 따르면, 불법 펨토셀 ID는 기존 4개에서 16개가 추가되어 총 20개로 5배 늘어났다. 해당 불법 ID에 접속 이력이 있는 개인정보 유출 정황 고객(접속 IMSI 수 기준)은 기존 2만 30명에서 2197명이 추가되어 총 2만 2227명으로 집계됐다. 이는 휴대전화와 기지국 간 접속 기록 약 4조 300억건을 분석한 결과다. 불법 기지국을 통한 개인정보 유출 정황은 지난해 10월 8일부터 시작된 것으로 조사됐으나, 최초 발견 시점은 현재 검증 중이다. 무단 소액결제 피해는 당초 확인된 8월 5일 이후 시작됐으며, 지난달 5일 비정상 결제 차단 이후 새로운 피해는 발생하지 않았다. 추가로 확인된 16개 ID 중 1개 ID에서만 6명을 대상으로 319만 원의 무단 소액결제 의심 건이 발생했다. 거기다 불법 기지국 접속 지역이 서울, 경기 등 기존 무단 소액결제 발생 지역을 넘어 강원 지역까지 확장된 것으로 나타났다. KT는 경찰이 범행 일당으로부터 압수한 불법 기지국 장비 외에 추가 장비가 존재할 가능성이 있다는 입장을 밝혔다. 구재형 KT 네트워크기술본부장은 “수사 진행 중이라 (확인되면) 밝힐 수 있으나, 있을 수는 있다”고 답변하며, 불법 장비를 통한 피해 규모가 더 커질 수 있음을 시사했다. KT는 전수 조사를 확대하여 기존 ARS 인증 외에 SMS 인증을 통한 무단 소액결제 63건이 새로 발견되었음을 확인했다. 조사 기간 역시 2024년 8월 1일부터 올해 들어 지난 9월 10일까지로 확대해 약 1억 5000만 건의 결제 내용을 분석했다. KT는 불법 기지국 접속 이력이 확인된 2만 2227명의 고객을 대상으로 유심 교체와 유심 보호 서비스 가입을 적극적으로 지원하겠다고 밝혔다. 다만 전체 일반 고객을 대상으로 유심 교체나 보호 서비스를 확대할 계획이 있는지에 대해서는 유보적인 태도를 보였다. 김영걸 KT 서비스프로덕트본부장은 “피해 보신 고객들 금전적 피해 보상하는 것들, 향후 문제가 생길 수 있는 부분들에 대해서 보험 가입하는 것들, 유심 교체라든지 유심 보호 서비스 하는 부분들에 집중을 하고 있다”며, 일단은 피해 고객 케어에 집중하겠다는 입장을 밝혔다. KT는 위약금 면제는 민관 합동 조사단의 조사 결과와 고객 피해 상황을 고려해 검토할 계획이며, 정부 조사 및 경찰 수사에 성실히 협조하고 재발 방지 대책을 마련하겠다고 강조했다.

KT 무단 소액결제 및 해킹 사태와 관련해 범행에 사용된 불법 기지국 아이디 개수와 피해자 수가 크게 늘어난 것으로 파악된 가운데, KT가 정부 조사를 방해했다는 의혹에 대해 경찰이 수사에 착수했다. 16일 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당)이 확인한 결과에 따르면, 범행에 쓰인 불법 기지국 아이디(셀 아이디)는 기존 4개 외에 추가 발견돼 현재까지 20개가량 사용된 것으로 추정된다. 무단 소액결제 피해자도 기존 집계 인원 외에 10명 이내로 추가 발견됐다. 현재 경찰과 KT는 피해자를 각각 220명, 362명으로 집계하고 있다. 불법 기지국 접속 인원 수 또한 기존 2만 30명에서 2000여명 증가한 것으로 나타났다. 이를 확인한 황정아 민주당 의원은 “KT의 거짓말이 결국 드러났다”며 반복적인 축소·은폐 행태에 대한 징벌적 제재를 촉구했다. KT는 이번 사태와 관련해 17일 설명회를 가질 계획이다. KT가 이번 사건과 관련해 정부 조사를 방해했다는 의혹에 대해 경찰이 입건 전 조사(내사)에 착수했다. 경기남부경찰청 반부패경제범죄수사대는 이날 경찰청으로부터 해당 의혹 사건을 배당받아 내사에 들어갔다고 밝혔다. 경찰은 KT의 초동 대응 문제와 조사 방해 의혹 전반을 살펴볼 예정이다.

지난달 SK텔레콤과 KT, 롯데카드에서 해킹과 정보 유출 사고가 연달아 발생하면서 개인정보 보호에 대한 경각심이 커지고 있다. 연휴 기간 일상에서 실천할 수 있는 해킹 예방법을 짚어봤다. 4일 정부에 따르면 연휴 기간 해외 공항 등 공공장소에서 보안이 설정되지 않았거나 출처가 불분명한 와이파이에 접속해선 안 된다. 무료 와이파이는 해커가 심어둔 올가미일 수 있다. 이 경우 통신 기록 탈취는 물론 악성코드 감염으로도 이어진다. 스마트폰 운영체제(OS)와 각종 애플리케이션의 보안 업데이트는 늘 최신 상태로 유지해야 한다. 업데이트를 미루는 것은 보안 취약점을 내버려 두는 셈이다. 또한 통신사에서 제공하는 유심(USIM) 보호 서비스에 가입하는 것도 권장된다. 이 서비스를 이용하면 다른 기기에서 유심을 무단으로 사용하는 것을 차단해 복제폰 등을 활용한 2차 피해를 막을 수 있다. 통신사 요금 명세서나 결제 내역을 자주 점검해 자신도 모르는 결제 기록이 있는지 살펴야 한다. 수상한 내역을 발견하면 곧바로 통신사나 금융기관에 신고해 추가 피해를 방지해야 한다. 또한 추석 연휴엔 온라인동영상서비스(OTT) 로그인이나 소프트웨어 업데이트 과정에서 공식 계정으로 속인 피싱 시도가 늘어난다. 낯선 알림창이나 링크는 한 번 더 의심해야 안전하다. 소액결제 한도는 ‘0원’으로 미리 차단해야 소액결제 피해를 막으려면 결제 한도를 0원으로 설정하거나 차단해둬야 한다. 소액결제를 사용하지 않으면서 이 기능을 켜둘 필요가 없다. 해커 입장에선 인증을 피할 수 있는 취약점으로 활용할 수 있어 평소 소액결제를 사용하지 않는다면 아예 차단해두는 게 안전하다. 이 기능을 켜두기만 해도 해킹의 틈새가 될 수 있기 때문이다. 금융 거래를 할 땐 ‘2단계 인증’이 필수다. 많은 사람이 인증 수단으로 활용하는 문자(SMS) 인증만으로는 한계가 있다. 과거보다 해킹 기법이 발전하면서 문자 인증번호만 탈취해도 계정을 쉽게 가로챌 수 있을 만큼 해킹 기법이 교묘해졌다. 앱 기반 일회용 비밀번호(OTP)나 지문·안면 인식 등 생체 인증을 활용한 2단계 인증(2FA)을 걸어두는 게 계정을 지키는 최후의 자물쇠가 될 수 있다. 특히 생체 인증은 단말(스마트폰) 자체에서 인증 정보를 암호화하기 때문에 외부 서버로 전송되지 않는다. 만약 다른 개인정보가 유출되더라도 단말 내부의 생체 인증 정보는 안전하게 유지돼 해커가 최종 결제 단계에 도달하기 힘들다. 사이버 보안 기업 서프샤크는 “추석 연휴를 맞아 여행을 떠나며 자신도 모르게 개인정보를 위험에 노출하는 경우가 많다”며 “공항, 호텔 등의 무료 와이파이가 해커들의 주요 표적이 될 수 있어 가상사설망(VPN) 없이 사용할 경우 계정 정보, 이메일, 비밀번호 등 민감한 데이터가 유출될 수 있다”고 지적했다.

KT 대표 “펨토셀 외주 허점” 인정과기부 차관 “복제폰 위험성 볼 것”28만명 중 19만명 재발급 등 조치MBK, 롯데카드 매각 계획 재확인증인 채택된 김병주 회장 불출석 24일 국회에서 열린 ‘KT·롯데카드 해킹 사태’ 청문회에서 여야 의원들이 해당 기업들의 관리 소홀과 늑장 대응에 대해 집중 추궁했다. 과학기술정보통신부는 이 자리에서 고의성이 확인되면 경찰 수사 의뢰 등에 나서겠다는 입장을 밝혔다. 김영섭 KT 대표는 이날 청문회에서 허술한 ‘초소형 기지국’(펨토셀) 관리와 늑장 대응 등으로 질타를 받았다. 김 대표는 경찰의 해킹 통보 후 8일이나 지나서야 신고한 것과 관련해 “당시 스미싱으로 오인해 대응이 늦어졌을 뿐, 은폐 의도는 없었다”고 해명했다. 김 대표는 사퇴 의사에 대해선 “사태 수습이 우선”이라며 유보하는 태도를 취했다. 해킹의 주요 경로로 지목된 펨토셀을 부실하게 관리했다는 지적도 잇따랐다. 김 대표는 “외주 관리 체계에 허점이 있었던 것은 인정한다”고 했다. 류제명 과학기술정보통신부 2차관은 “서버 폐기나 신고 지연 등에 고의성이 있는지 파악하는 대로 필요시 경찰 수사 의뢰 등 강력 조치하겠다”고 했다. 그러면서 “(복제폰 생성 위험성도) 면밀히 보겠다”고 덧붙였다. 기업의 보안 부실로 인해 발생한 사태인 만큼 번호 이동 고객에 대한 위약금을 면제해야 한다는 지적이 거듭됐다. 김 대표는 “서버 해킹으로 개인 정보가 유출된 2만 30명에 대한 위약금 면제를 적극 검토하겠다”고 했지만, 전체 고객 위약금 면제 여부에 대해선 “최종 조사 결과를 보고 검토할 예정”이라며 선을 그었다. 류 차관은 “KT가 안전한 통신 제공의 의무를 위반했다면 당연히 위약금 면제 조치가 이루어져야 한다고 생각한다”고 말했다. KT는 무단 소액결제 사태와 관련해 올해 발생한 모든 인증 방식 내용 내역에 대해 전수조사를 실시할 계획이다. 이날 청문회에 출석한 조좌진 롯데카드 대표는 200GB 상당의 고객 정보 유출 사태와 관련 “카드 재발급이 100만명까지 밀려있는 상황으로 이번 주말까지는 대부분 해소가 될 것”이라고 밝혔다. 조 대표는 카드 재발급이 늦어지는 이유에 대해 “하루 24시간을 온전히 가동해서 재발급할 수 있는 캐파(Capa)가 6만장”이라며 이같이 답했다. 롯데카드는 지난달 보안패치 누락으로 해킹 사고가 발생해 회원 297만명의 정보가 유출됐다. KT 서버 해킹 사건과 달리 아직 피해액은 발생하지 않았지만 297만명 중 28만명은 연계정보(CI), 주민등록번호, 카드번호, 유효기간, 보안코드(CVC) 번호 등 부정 사용이 가능한 핵심정보까지 유출됐다. 롯데카드에 따르면 전날 오후 6시 기준 정보가 유출된 전체 고객 297만명 중 카드 재발급 신청을 한 이들은 약 65만명, 카드 비밀번호 변경은 82만명, 카드 정지 11만명, 카드 해지 4만명 등으로 집계됐다. 특히 CVC 번호 등 핵심 정보가 유출된 고객 28만명 중에는 19만명(68%)에게 카드 재발급, 비밀번호 변경, 카드 정지·해지 등 조치를 했다. 롯데카드는 신용정보법과 개인정보보호법을 근거로 총 800억원 이상의 과징금을 부과받을 위기다. 롯데카드는 향후 5년간 1100억원의 정보 보안 투자를 후속 대책으로 내세웠으나, 최대주주인 사모펀드 MBK파트너스의 윤종하 부회장은 이날 청문회에서 보안투자를 강화하겠다면서도 롯데카드 매각 계획을 재확인했다. 증인으로 채택된 김병주 MBK파트너스 회장은 불출석했다.

KT 무단 소액결제 피해가 가입 기간에 관계없이 전 세대에 걸쳐 광범위하게 발생한 것으로 나타났다. 피해 지역은 경기 광명시에 집중된 것으로 확인됐다. 23일 국회 과학기술정보방송통신위원회 소속 국민의힘 김장겸 의원실이 KT로부터 제출받은 자료에 따르면, 현재까지 집계된 피해자는 총 362명으로 여기에는 20년 이상 장기 가입자(10명)도 포함됐다. 가장 최근 피해자는 올해 7월 7일 신규 가입한 고객이었다. 피해자 362명 중에는 KT 고객이 아닌 KT 망을 이용하는 알뜰폰 가입자도 59명 포함됐다. 연령별로는 40대가 95명으로 가장 많았고, 30대와 50대가 각각 90명이었다. 20대 피해자는 36명, 60대 이상은 51명으로 전 세대에 피해가 발생했다. KT가 공식 집계한 지역별 피해 현황을 보면, 전체 피해자의 64%(233명)는 광명시에서 발생했다. 이어 서울 금천구(59명), 경기 부천시 소사구(22명) 순이었다. 문제는 피해자 중 추가 보안 서비스에 가입한 이용자가 14명(4%)이나 있었다는 점이다. 과방위 소속 이상휘 국민의힘 의원이 KT로부터 받은 자료에 따르면 피해자 중 5명은 ‘휴대폰 안심결제서비스’에, 7명은 ‘ARS안심인증부가서비스’에 가입해 있었다. KT고객센터에는 이미 지난달 27일부터 이달 2일까지 총 6건의 피해 신고가 들어왔지만, KT는 지난 1~2일 경찰로부터 소액결제 피해를 분석해 달라는 요청을 받은 뒤에야 비정상 결제가 이뤄진 사실을 확인한 것으로 파악됐다. 정부의 소극적 행정에 대한 지적도 제기된다. 과학기술정보통신부는 2014년 통신 과금 서비스와 관련한 피해 민원이 발생한 경우 통신사가 민원 처리를 주도적으로 처리하도록 하는 ‘피해구제 원스톱 서비스’를 도입한다고 발표했지만 유명무실하다. KT의 서버 침해 사건과 관련해 경찰이 입건 전 조사(내사)에 착수했다. 경찰청 국가수사본부 사이버테러수사대는 정보통신망 침입 혐의로 신원 미상의 해커에 대한 내사를 진행 중이다.

결제 피해 362명 청구 조정·환불‘피해 여부 조회 시스템’서도 확인2만명 피해 우려… 유심 무상교체대리점 방문하거나 택배 수령 가능통신사 위약금 면제 전향적 검토KT 무단 소액결제 사태에 이어 서버 해킹 소식까지 전해지면서 가입자의 불안이 가중되고 있다. 소액결제 피해 범위도 알려진 것보다 넓다. 피해 확인 방법과 추후 피해 가능성, 유심 교체와 위약금 면제 여부 등 소비자들이 궁금해 하는 내용을 일문일답으로 정리했다. -무단 소액결제 피해 여부를 알고 싶다. “KT에 따르면 이번 사건을 통해 실제 결제 피해를 본 고객은 362명이며, 피해 금액은 2억 4000여만원이다. 이 중 278명은 청구 조정을 완료했고, 나머지 84명은 신용카드 선결제가 이뤄진 고객이라 환불 처리를 진행했다. 또 개인정보 유출 정황이 있는 고객은 2만여명으로, KT는 지난 18일 오후 3시 이전까지 이들에게 문자 발송을 완료했다. 별도의 문자를 받지 못한 고객 중 피해가 의심되는 고객은 ‘피해 여부 조회 시스템’(check.kt.com)에서 개인정보 유출 정황과 소액결제 피해 여부를 확인할 수 있다. 24시간 운영되는 전담 고객센터에 직접 물어보는 것도 가능하다.” -소액결제 피해 지역이 아니면 안심해도 되나. “KT는 ‘지난 5일 새벽 비정상적인 소액결제 시도를 차단한 이후 무단 소액결제 피해는 발생하지 않고 있다’고 밝혔다. 하지만 KT 측이 당초 발표한 것보다 피해 지역이 확대되고 있어 안심하기는 이르다.” -모르는 새 소액결제가 될까 봐 걱정된다. 복제폰이 사용됐을 가능성은. “KT는 무단 소액결제 재발 방지를 위해 3개월간 사용 이력이 없는 초소형 기지국(펨토셀) 4만 3000여대의 연동을 해지했고, 사기탐지시스템(FDS) 모니터링 등을 시행하고 있다. 지난 5일 이후 추가 피해는 확인되지 않고 있지만 혹시 불안하다면 ‘마이KT 앱’이나 KT 홈페이지(www.kt.com)에서 소액결제 한도를 0원으로 설정하거나 원천 차단할 수 있다. 대리점을 방문하거나 고객센터(080-722-0100)에 연락하는 것도 방법이다. KT는 앞서 복제폰을 만들 때 필요한 인증키 값은 유출되지 않았다고 밝혔으나, 서버 침해로 이 또한 유출됐을 가능성이 생겼다. 출처가 불분명한 문자와 메시지의 링크(URL)를 클릭하지 말고, 지문이나 안면 인식과 같은 보안성이 높은 생체 인증 등을 추가로 결합한 이중 인증 체계를 설정해야 한다.” -결국 유심을 교체해야 안전한 거 아닌가. “유심을 교체하면 기존 정보를 통한 추가 악용을 차단할 수 있다. 현재 KT는 무단 소액결제 사건과 관련해 개인정보 유출 우려가 있는 2만여명의 고객을 대상으로 유심 무상 교체를 진행하고 있다. 온라인(앱과 홈페이지) 신청 후 택배로 받거나 대리점을 직접 방문해도 된다. 이들을 뺀 다른 고객들은 현재로선 유심 교체가 유료다. 금액이 부담스럽다면 무료로 지원되는 유심보호 서비스에 가입할 수 있다. 전 고객 정보가 유출된 정황이 드러난다면 SK텔레콤처럼 전체 유심 무상 교체를 실시할 수도 있다. KT의 올 2분기 기준 이동통신 가입자 수는 1984만 2000명이다.” -무단 소액결제 피해자인데 다른 통신사로 옮기고 싶다. 위약금은 어떻게 되나. “KT는 위약금 면제를 공식 발표하지 않았지만 ‘전향적으로 검토 중’이라고 했다. 서버 해킹 조사 결과에 따라 SK텔레콤처럼 전체 고객을 대상으로 일정 기간 위약금을 면제할 가능성도 있다.”

무단 소액결제 사건으로 불거진 KT의 보안 부실 문제가 더욱 확대되는 모습이다. KT의 서버 침해 정황이 확인되면서 가입자의 개인정보가 유출됐을 가능성이 커지는 가운데 무단 소액결제 피해가 발생한 지역도 당초 알려진 것보다 훨씬 범위가 넓은 것으로 파악되고 있다. 관련 사실을 인지한 뒤 발표나 신고하는 데 시간이 걸리면서 ‘축소·늑장 대응’이라는 지적도 나온다. 21일 국회 과학기술정보방송통신위원회 소속 황정아 더불어민주당 의원이 전날 KT로부터 받은 ‘인증 시간 기준 피해 지역 자료’에 따르면 무단 소액결제가 발생한 지역에는 경기 광명·부천·과천시, 서울 금천·영등포구, 인천 부평구 등 경찰의 수사 범위를 넘어 서울 동작구와 서초구, 경기 고양시 일산동구까지 포함돼 있다. 황 의원은 “범행 지역과 시기에 대한 구체적 정보 등을 KT가 보다 빨리 공개했다면 수사에 도움이 됐을 사실도 많은데 이제야 주요 정보를 내놓는 것이 이해되지 않는다”고 지적했다. 이에 대해 KT는 “(언급된) 피해 지역은 (범행이 발생했을 것으로) 보이는 ‘추정 위치’로 수사를 통해 확인이 필요하다”는 입장을 밝혔다. KT에서 서버 침해 흔적이 발견되면서 개인정보가 무더기로 빠져나갔을 가능성도 제기된다. KT는 지난 18일 한국인터넷진흥원(KISA)에 서버 침해 흔적 4건과 의심 정황 2건을 신고했다. 지난 4월 SK텔레콤 해킹 사고 이후 외부 보안 전문 기업에 의뢰해 전사 서버를 약 4개월에 걸쳐 조사한 결과인데, 어떤 정보가 유출됐는지는 향후 민관 합동조사단의 조사 결과를 기다려 봐야 한다. 서버 해킹과 이번 무단 소액결제 사건의 연결성을 규명하는 것도 과제다. KT는 불법 초소형 기지국(펨토셀)을 통해 빼돌린 정보만으론 소액결제를 할 수 없으며 복제폰 가능성은 없다는 입장이었지만 서버가 해킹당하면서 해커나 혹은 해커 조직이 서버 해킹을 통해 필요한 정보를 빼돌려 복제폰을 만든 다음 무단 소액결제에 사용했을 가능성도 배제할 수 없다. 일각에선 KT의 대응에도 문제가 있다고 지적한다. 최수진 국민의힘 의원이 확보한 KISA 침해 사고 신고에 따르면 KT가 이번 서버 침해 사고를 인지한 시점은 지난 15일 오후 2시였으나 KISA에 신고한 건 사흘 후인 18일 오후 11시 57분이었다. KT는 “보안 업체의 점검 결과 보고서를 내부에서 검증하는 데 시간이 필요했다”고 했지만 신고를 9시간 앞둔 같은 날 오후 3시 공식 브리핑에서도 서버 해킹 사실을 따로 언급하지 않았다. 이에 대해 KT 측은 “소액결제 사건은 네트워크와 마케팅 쪽 부서가 진행하고 있고, 서버 점검은 정보보호최고책임자(CISO) 쪽에서 별도로 진행해 상호 연결성이 없었다”며 사내 소통 부족으로 정보 공유가 안 돼 발생한 일이라고 밝혔다. 올해 SK텔레콤에 이어 KT, 롯데카드까지 정보 유출 사고가 잇따라 발생하면서 보안에 관한 위기의식도 높아지고 있다. 최경진 가천대 인공지능·빅테이터정책연구센터장은 “그동안 보안 투자에 소극적이었다는 사실이 드러난 사건”이라며 “(펨토셀과 같은) 디지털 자산을 관리하는 것에도 관심을 기울여야 한다”고 제언했다. 정부는 기업들이 고의로 침해 사고 사실을 늦게 신고하거나 신고하지 않을 경우 과태료 등의 처분을 강화할 계획이다. 또 보안 사고 발생 시 사회적 파장에 상응하는 책임을 지도록 징벌적 과징금 도입을 추진한다.

KT 무단 소액결제 피해 지역이 당초 알려진 곳 외에 서울 서초구·동작구, 경기 고양시 일산동구 등에서도 발생했던 사실이 뒤늦게 파악됐다. 서울 서남권과 인근 경기 지역에 집중됐던 것으로 파악됐던 무단 결제 피해가 서로 떨어진 지역에서도 확인됨에 따라 KT 소액결제 이용자에 대한 전수조사 및 수사 확대 필요성이 커졌다. 20일 KT가 국회 과학기술정보방송통신위원회 소속 황정아 의원(더불어민주당)에게 제출한 인증 시간 기준 피해 지역 자료에 따르면 알려진 곳들 외에도 서울 동작구, 서초구, 고양시 일산동구, 영등포구 등이 포함됐다. 동작·관악·영등포·서초·광명·금천·일산동구·과천·부천소사·부평 KT는 처음 피해가 발생한 시점을 8월 5일로 파악했는데 이때부터 8일까지 나흘간 서울 동작구, 관악구, 영등포구 일대에서 15명이 26차례에 걸쳐 962만원의 피해를 봤다. 범행을 저지른 이들은 8일, 그리고 주말을 건너뛴 11일 이틀에 걸쳐서는 서울 서초구에서 3명을 상대로 모두 6차례에 걸쳐 무단으로 소액결제 227만원을 가로챘다. 12~13일에는 경기 광명시에서, 15일에는 서울 금천구, 20일 경기 고양시 일산동구, 21일 경기 과천시에서 무단 소액결제 범행을 이어갔다. 나흘간 범행을 잠시 멈춘 뒤 26일부터 기존에 알려진 대로 금천구, 광명시, 경기 부천시 소사구·부평구 등에서 다시 활동했다. 황 의원은 “범행 지역과 시기에 대한 구체적 정보 등을 KT가 보다 빨리 공개했다면 수사에 도움이 됐을 사실들도 많은데 이제야 찔끔찔끔 주요 정보를 내놓는 것이 이해되지 않는다”고 비판했다. 심지어 KT 무단 소액결제 사건이 처음 알려진 9월 4일과 5일에도 100건 가까운 무단 결제가 있었던 것으로 나타났다. 비정상적인 결제 시도를 KT가 차단하기 직전까지 무단 소액결제가 상당 규모 진행된 것이다. 최초로 알려진 4일 이용자 36명에게서 36건의 피해(2499만원)가 있었고, 5일 11명이 14건(550만원) 무단 소액결제 피해를 봤다. 패스앱·카카오톡 무단 접속 피해 제보도…KT 소극대응 논란 KT는 4일과 5일에 피해 건수가 없었다고 국회에 보고한 바 있다. 이후 1차 발표에서 피해자 수를 278명으로 집계했다가 4일과 5일 피해를 뒤늦게 포함해 362명으로 정정했다. 피해 건수는 1차 집계 당시 527건에서 764건으로 늘었다. KT는 “5일 새벽 비정상적인 소액결제 시도를 차단한 이후 무단 소액결제 피해는 발생하지 않고 있다”고 밝혔다. KT 피해 현황이 초기 발표에서 점점 확대되는 것은 당초 자의적으로 자동응답전화(ARS)에 국한해 피해를 파악하고 소극적으로 대응하기 때문이라는 지적이 끊이지 않고 있다. KT는 해킹범이 피해자들의 휴대전화로 갔어야 할 ARS 신호를 탈취해 소액결제에 성공한 사례에만 주목해 피해 현황을 ARS 수신 상황만 따져 집계하고 있다. 그러나 연합뉴스에 따르면 이 사건을 최초로 제보한 경기 광명시의 A씨는 자신이 진행하지 않은 패스(PASS) 인증을 제삼자가 한 기록이 남아있다고 전했다. 또 카카오톡 무단 로그인을 겪은 피해자들도 있었다. 해킹범이 ARS 신호 탈취 외에 다른 범행 수법도 썼을 가능성까지 KT가 고려했어야 하는 것 아니냐는 지적이다. 황 의원은 “KT 해킹 사태의 전모가 밝혀지면 밝혀질수록 KT가 거짓 변명만 늘어놓았다는 사실이 드러나고 있다”면서 “지금이라도 소액결제가 이뤄진 모든 고객에게 직접 결제 현황을 고지하고 피해 전수조사에 나서야 한다”고 촉구했다. 그러면서 “고의적 축소 은폐 시도를 반복한 KT에 대해서는 SKT 때보다 더 강력한 제재와 함께 피해 배상 강제가 이뤄져야 한다”고 강조했다.