KT, 추가 보안 취약점 은폐로 정부와 또 다시 논란에 휩싸이다

 

국가정보원(NIS)은 9월에 KT와 정부 양측에 대해 일부 KT 스마트폰에서 문자 메시지 암호화가 비활성화되었다고 경고했습니다 — 이는 국가 사이버보안에 중대한 위협으로 간주된 취약점이라고 판단됐지만, 이 통신사업자는 이를 은폐하려 한 것으로 목요일 공개된 최신 자료가 전하고 있습니다.

 

민주당 최민희 의원에게 제출된 NIS 자료에 의하면, 텍스트 메시지가 엔드투엔드 암호화로 보호되지 않아 중간 서버에서 해독될 수 있다는 조사 결과를 근거로 NIS가 KT와 과학기술정보통신부에 공식적으로 경고했다고 전해진다.

 

 

의원에 따르면 NIS는 “일부 KT 스마트폰 모델에서 암호화가 비활성화될 수 있다”는 제보를 접수한 뒤 조사를 시작했다.

 

국제표준화기구(ISO)와 정보통신기술협회(TTA)는 메시지 전송 중 서버가 내용을 열람할 수 없도록 엔드투엔드 암호화를 실행할 것을 통신사업자에 권고한다. 다만 NIS는 특정 KT 기기에서 이 보호가 비활성화되었다는 징후를 발견했다고 밝혔다. 어떤 모델이 영향을 받았는지, 취약점의 원인, 데이터 유출이 발생했는지 여부에 대해서는 구체적으로 밝히지 않았다.

 

정부-민간 합동 조사팀은 NIS의 발견에 근거해 이 문제가 특정 스마트폰뿐 아니라 KT 전체 네트워크에서도 재현될 수 있는지 여부를 현재 점검하고 있다.

 

KT는 현재 피해자의 문자 메시지와 음성 응답 시스템에서 인증 정보를 훔친 것으로 알려진 이른바 소액결제 해킹 사건으로 정부의 감사를 받고 있다. 수사관들은 해커들이 불법 기지국인 펨토셀(femtocells)로 암호화를 비활성화해 KT의 코어 네트워크로 전송되는 SMS와 ARS 신호를 가로챘을 가능성을 의심한다. 또한 해커들이 평문으로 메시지를 가로채 인증을 우회하고 결제를 수행했다고 보고 있다. 수사팀은 이 가능성을 기술적으로 확인했다고 밝히며, 공격자들이 일반 통화 및 문자 데이터에까지 접근할 수 있는지 여부를 분석 중이다.

 

Separately, documents submitted to Choi by the Ministry of Science and ICT revealed a related issue. KT became aware of an infection by the BPFdoor malware in March last year but only confirmed the breach a month later in April. It then requested a vaccine update from Taiwan-based cybersecurity firm Trend Micro. Although Trend Micro publicly reported that a Korean telecom provider had been targeted, it withheld the name of the company, citing client confidentiality.

 

KT is now facing accusations that it intentionally covered up the incident. “In light of the NIS’s encryption vulnerability report, it appears KT failed to transparently disclose the BPFdoor infection and responded passively to the agency’s notice,” said Choi’s office.

 

Among the 43 infected servers, some reportedly contained subscriber data. KT explained that its detection and response to the BPFdoor attack occurred between April and July of last year, which differs from the timelines cited in Trend Micro’s July and December reports. KT also told the ministry that there were “no cases of damage,” claiming that while breaches occurred, no concrete evidence of harm was found.

 

At the core of the issue is whether KT’s reporting and disclosure of the malware attack were sufficiently clear and timely. If servers containing subscriber data were indeed compromised, the company could be held accountable for failing to promptly disclose and mitigate the risks.

 

Choi reiterated that she would hold KT’s leadership accountable. The joint investigation team continues to probe whether there is a causal link between the encryption vulnerability and the hacking incidents, and whether any data leaks or damage actually occurred.

BY JEONG JAE-HONG [
[email protected]
]