오늘도 무사히 · 국내 정보보안 사고 타임라인

통신

KT불법 펨토셀로 인증 정보 탈취, 무단 소액결제

쉽게 말하면 가짜 소형 기지국에 휴대폰이 속아 접속되면서 번호가 털리고 소액결제 피해가 났습니다.

해커가 KT 장비에서 빼낸 인증서로 가짜 소형 기지국을 만들어 KT 내부망에 붙었고, 근처 단말기를 끌어들여 번호와 식별 정보를 가로챈 뒤 소액결제까지 이어갔습니다. 서버 94대의 악성코드 감염 사실을 신고하지 않은 것도 함께 드러났습니다.

규모 1만 6,647명 유출, 368명 결제 피해현황 개인정보위 과징금 539억 7,900만 원과 조사 방해 혐의 고발(2026-07-30)

조사 방해 혐의는 고발·수사 단계로, 확정된 판단이 아닙니다.

내가 해당되는지 확인하기

KT 가입자(소액결제 피해는 368명으로 확인됨)

  • KT 공식 앱·홈페이지의 안내와 결제 내역을 확인하세요. 모르는 소액결제가 있는지 통신사 청구서도 살펴보세요.

해당되거나 불안하다면

  • 엠세이퍼 msafer.or.kr 또는 이동통신사 지점내 이름으로 가입된 통신서비스를 조회하고, 새 휴대폰 개통을 미리 막습니다. 새 폰을 직접 개통할 때는 제한을 풀어야 합니다.
  • 피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.

확인된 사실

개인정보 유출
1만 6,647명(전화번호, IMSI, IMEI)
금전 피해
무단 소액결제 368명, 약 2억 4,000만 원. KT는 피해액을 이용자에게 청구하지 않기로 함
잠복 기간
2024년 10월부터 약 11개월간 별도 인증 없이 내부망에 접속, KT는 민원이 나오고서야 인지
서버 감염
서버 94대가 BPFDoor·루트킷 등 악성코드 103종에 감염(별건, 신고 누락)
과징금
539억 7,900만 원. 무선 서비스 매출 기준으로 산정했고 악성코드 건은 제외, 새 사실이 확인되면 별도 처분 가능

경과

  1. 경찰이 특정 지역의 KT 가입자 무단 소액결제 피해 정황을 KT에 전달
  2. KT가 이상 통신 패턴을 발견하고 차단
  3. 등록되지 않은 불법 펨토셀이 내부망에 접속한 사실을 확인하고 과기정통부에 신고
  4. 정부 중간 브리핑. 민원 177건, 피해액 7,782만 원 확인 단계공식 조치
  5. 김영섭 KT 대표 대국민 사과 기자회견
  6. 국회 과방위 해킹 청문회. KT 답변과 대응 지연이 여야 모두의 질타를 받음공식 조치
  7. KT 조사에서 불법 펨토셀 16개 추가 확인, 피해자 6명 추가
  8. 조사단 중간 결과. 악성코드 감염 미신고와 서버 폐기 허위 보고를 확인해 공무집행방해 혐의로 수사 의뢰공식 조치
  9. 조사단 최종 결과. KT 과실이 인정되어 전체 이용자 위약금 면제 사유에 해당한다고 판단공식 조치
  10. 위약금 면제 시작(2026년 1월 13일까지 2주). 12월 30일 KT가 위약금 면제와 고객 보상안 발표
  11. 개인정보위가 과징금 539억 7,900만 원 부과, 거짓 자료 제출 등 조사 방해로 KT 법인 고발공식 조치

원인으로 지목된 것

  • 공격 방식: 분실된 KT 펨토셀에서 인증서를 꺼내 자체 제작 장비에 넣고 내부망에 접속, 강한 전파로 단말을 유인해 번호와 IMSI·IMEI를 탈취한 뒤, 별도로 확보한 개인정보와 결합해 소액결제와 인증 문자·ARS까지 가로챔
  • 납품되는 모든 펨토셀이 같은 인증서를 사용했고 유효기간이 10년이어서 복제한 장비가 계속 접속 가능했음
  • 접속 IP를 KT 대역으로 제한하지 않았고 식별자(Cell ID)를 관리하지 않아 비인가 장비의 이상 접속을 탐지하지 못함
  • 펨토셀 제작 외주사 보안 관리와 제품 형상 정보 검증이 미흡했음. 조사단은 KT의 정보통신망법 위반을 확인
  • 아이폰16 이하 단말에는 SMS 암호화를 적용하지 않고 있었던 사실도 드러남

대응과 조치

  • 통신 3사 모두 신규 펨토셀의 통신망 접속을 전면 제한
  • 펨토셀 인증서 유효기간을 10년에서 1개월로 단축, KT 유선 IP 외 접속 차단, 제품별 별도 인증서 발급, 종단 암호화(IPSec) 해제 방지와 모니터링 강화
  • 침해사고 신고 지연으로 과태료 2,625만 원 확정(보도). 침해사고 신고 의무는 24시간 이내
  • 조사 방해(서버 폐기 시점 조작 등)는 과징금과 별개로 형사 절차로 이어짐

점검해 볼 지점 (편집 의견)

  • 장비 단위로 고유한 인증서를 쓰고 수명을 짧게 가져가는 설계가 피해 반경을 좌우했습니다.
  • 정상 장비 목록에 없는 단말이 내부망에 붙는지 보는 자산 기반 탐지가 11개월을 줄일 수 있었던 지점입니다.
  • 사고를 숨기려 서버를 폐기한 행위가 오히려 제재를 키웠습니다. 폐기 전 포렌식 보존과 신고 기준이 필요합니다.

관련 ISMS-P 인증기준 (편집 의견)

위탁·협력사·솔루션 경유2.3.1 외부자 현황 관리2.3.2 외부자 계약 시 보안2.3.3 외부자 보안 이행 관리3.3.2 개인정보 처리 업무 위탁

공개된 원인에서 이어 본 것으로, 해당 기업의 인증 심사 결과가 아닙니다.

용어: BPFDoor펨토셀유심 탈취·복제

출처

‘오늘도 무사히’는 민간 기업 Sprout Security가 운영하는 정보 제공 사이트이며 정부 기관이 아닙니다.