KT, 개인정보 유출 피해 번복 … “IMEI·전화번호도 털렸다”

KT의 무단 소액결제 사건에서 개인정보 추가 유출이 확인됐다. 상품권 외 교통카드 등의 추가 피해와 함께 불법 초소형 기지국 2개가 추가로 확인되면서 개인정보의 추가 유출이 드러난 것. 피해 규모는 2만 건으로 국제이동가입자식별번호(IMSI), 국제단말기식별번호(IMEI), 전화번호 등이다. 

피해 고객 수도 278명에서 362명으로, 피해금액은 1억7000만원에서 2억4000만원으로 늘었다. KT는 추가 피해 가능성을 낮게 보고 있지만 이미 수차례 피해가 커지고 있다는 점에서 불안도 커지는 중이다. 

KT는 18일 서울 광화문 KT 웨스트 사옥에서 무단 소액결제 관련 브리핑을 갖고 “ 비정상 유형을 기준으로 데이터 분석을 거쳐 불법 초소형 기지국 ID를 2개 추가 검출했다”며 “해당 기지국 ID를 통해 IMSI와 IMEI, 휴대폰 번호가 유출된 정황도 확인했다”고 밝혔다. 

이들 피해는 모두 지난 5일 KT가 불법 초소형 기지국의 접속을 차단하기 이전에 발생한 건이다. 

KT 측은 “분석결과 다양한 단말 기종이나 이용 환경에 따라 전송 여부를 확인하지 못했지만 한명이라도 누락될 수 있어 불법 초소형 기지국을 수신한 2만명의 모든 고객에 대해 개인정보 유출 대상으로 보고 관리할 예정”이라고 말했다.

회사 측은 일단 이번 개인정보 유출에도 불구하고 ‘복제폰’의 우려는 없다는 입장이다. 복제폰을 만들기 위해서는 IEMI를 알더라도 유심 인증키를 획득해야 하는데, 유심 인증키는 KT의 시스템과 각 단말기에 암호화돼 외부로 유출되지 않는다는 입장이다. 

KT 측은 “고객민원(VOC)을 먼저 인지하고 문제점을 분석하는 것에 한계가 있어 피해 인지를 못한 고객을 보호하기 위해 분석 범위를 확대한 결과 불법 초소형 기지국의 ID 2개를 추가로 확인했다”며 “이 2개의 기지국은 작동 시간이 짧아 약 700명이 접속한 것으로 확인됐다”고 말했다.

KT는 이번 무단 소액결제 사건을 위해 불법 초소형 기지국이 개조됐을 것으로 추정했다. 기지국 출력을 확대하는 앰프를 연결하거나 고출력 불법 무선 장치에 KT의 초소형 기지국을 연동하는 방식 등이다. 

이번 사건을 계기로 KT는 자사의 초소형 기지국에 대한 관리를 강화한다는 계획이다. 현재 가동 중인 초소형 기지국은 18만9000개로 전체의 18.7%인 4만3000대는 3개월 내 사용이력이 없다. KT는 향후 2주간 전수 점검을 통해 3개월 미접속 기지국에 대해 철거 및 회수하고 회수가 불가능 할 경우에는 영구 접속을 차단한다는 계획이다. 

이 외에도 전국 2000개 매장을 안전안심 매장으로 전환해 고객 보호를 강화할 예정이다. 

그러나 자꾸 커지는 KT 무단 소액결제 피해 규모에 대한 우려는 여전하다. 사건 최초 보고 당시 “개인정보 유출은 없다”는 입장을 밝혀오던 KT는 지난 11일 IMSI 5561건의 개인정보 유출을 인정했고 다시 일주일만에 2만건의 IMEI, 전화번호의 추가 유출을 확인했기 때문이다. 

KT 측은 “처음 사고를 접했을 때, 피해가 더 이상 발생하지 않도록 집중했고 민관합동조사를 통해 분석 범위를 넓혀가는 과정”이라며 “추가 확대 분석을 통해서 가능성을 확인했다. 분석을 한 번 더 번복한 점에 대해서 한 번 더 죄송하다는 말씀을 드린다”고 말했다.

한편, 경기남부경찰청은 지난 16일 KT 무단 소액결제 사건의 유력한 용의자인 중국동포 2명을 체포하면서 사건의 실체가 밝혀질지에 대해 시선이 모이는 중이다. 이들은 18일 구속 전 피의자 심문(영장실질심사)에 출석하면서 개인정보 탈취 경위에 대해 “시키는 대로 했다”고 짧게 언급했다. 배후에 윗선이 존재했을 가능성도 배제하기 힘든 상황이다.