복제폰 개설땐 추가피해… 소액결제 인증 강화를

Q&A로 본 KT 소액결제 사태
“해킹 흔적 없어 복제폰 가능성 적어”
KT닷컴서 정보유출 여부 확인 가능
소액결제 추가 비번 입력 등 설정을

KT가 가입자 5561명의 가입자식별번호(IMSI)가 유출됐을 가능성이 있다고 발표하면서 무단 소액결제 등 추가 피해를 우려하는 목소리가 커지고 있다. 개인정보가 얼마나 유출됐는지, 추가 해킹 위험은 없는지 등 의문점과 소비자들이 무단 소액결제를 막으려면 어떻게 해야 하는지 등을 보안 전문가들과 알아봤다.

Q. 이번 해킹의 원인이라는 ‘불법 초소형 기지국’이 뭔가.

초소형 기지국(펨토셀)이란 이동통신 3사 기지국의 범위에서 벗어나 신호가 약한 통신 음영지역에서 사용되는 작은 기지국이다. 집 안이나 작은 사무실 등 반경 10m 내외의 공간에서 통신을 제공한다. KT를 포함한 통신 3사 모두 통신 음영지역에 펨토셀을 제공하고 있으며, 인구밀도가 높은 일부 지역에서는 트래픽 분산을 위해 사용하기도 한다. 불법 초소형 기지국은 불법 개조됐거나 해커가 사제로 만든 펨토셀을 의미한다. 이번 사건의 경우, 해커가 ‘불법 초소형 기지국’에서 IMSI와 ARS 및 문자 인증 정보를 빼돌렸을 가능성이 제기된다.

Q. 내 정보가 유출됐는지 어떻게 알 수 있나.

KT 고객센터 및 매장, KT 닷컴 등에서 IMSI 유출 여부를 확인할 수 있다. KT 닷컴 메인 페이지에 로그인을 하면 IMSI 정보가 유출된 경우 팝업 페이지를 통해 안내를 받을 수 있다. 무단 소액결제 피해가 확인된 경우에는 KT가 개별 연락을 통해 소액결제 청구 면제 등을 안내하고 있다. KT 측은 무단 소액결제된 고객들에게는 모두 연락을 마쳤다고 밝혔다.

Q. IMSI 유출로 인한 추가 피해 가능성은 없나.

IMSI가 유출됐을 경우 가장 우려되는 상황은 복제폰이 개설된 경우다. SK텔레콤 유심 해킹 사건 때도 IMSI 정보가 다량 유출되며 복제폰 개설 위험이 거론된 바 있다.

다만 김용대 KAIST 전기및전자공학부 교수는 아직까진 “그럴 가능성은 작다”고 했다. 불법 초소형 기지국을 통해 IMSI 정보가 유출됐다 하더라도 복제폰 개설을 위해 필수적으로 필요한 개인 인증키 정보는 유출되지 않았을 가능성이 높기 때문이다. 개인 인증키 정보는 KT의 핵심인증서버(HSS)에 보관돼 있는데, 아직 이 서버가 해킹당한 흔적은 발견되지 않았다.

Q. 애플 계정으로 소액결제가 이뤄지기도 했다던데….

11일 애플 계정을 탈취당한 한 KT 가입자가 수년간 쓰지 않던 애플 계정으로 한 번도 접속한 적 없는 게임에서 콘텐츠 결제가 이뤄진 사례가 나왔다. KT는 “해당 피해자의 계정을 확인한 결과 불법 초소형 기지국이 접속한 이력이 없었다”며 “이번 무단 소액결제 건과는 관련이 없을 것으로 추정하고 있다”고 밝혔다.

Q. 무단 소액결제를 막으려면 어떻게 해야 하나.

KT 가입자가 소액결제를 막을 수 있는 방법은 △소액결제를 원천 차단하거나 △소액결제 한도를 0원으로 줄이거나 △추가 보안 인증을 설정하는 방법이 있다. 다만 소액결제 원천 차단은 영구적이라 향후 소액결제가 필요하더라도 다시 복구하기 어려울 수 있다. 소액결제 한도를 0원으로 줄이는 것도 가능하지만, 해커가 ARS 인증 등을 통해 소액결제 한도를 최대로 늘린 사례가 확인됐기 때문에 근본적인 해결책은 아니다.

KT는 12일부터 소액결제를 통한 상품권 결제 시 ARS나 문자 인증이 아닌 ‘패스’ 앱을 통해서만 결제되도록 변경했다. 가입자는 추가로 지정한 비밀번호를 입력해야 결제가 진행되도록 보안 인증을 강화할 수도 있다.

최지원 기자 jwchoi@donga.com
김하경 기자 whatsup@donga.com