KT·SKT 연쇄 해킹, 합산 600억 원 초과 역대 최대 과징금 시대 개막

국내 1·2위 통신사가 나란히 대규모 해킹 피해를 입으며 개인정보보호위원회로부터 합산 600억 원을 초과하는 역대 최대 규모의 과징금 처분이 전망된다. 북한 연계 APT 공격 정황까지 포착되면서 국가 기간통신망의 보안 취약성에 대한 근본적 재점검이 불가피해졌다.

---

사건 개요: 펨토셀 취약점 노린 정교한 공격

개인정보보호위원회는 최근 KT에 대해 540억 원의 과징금과 함께 검찰 고발 조치를 의결했다. 이번 침해사고의 핵심은 펨토셀(Femtocell) 인증체계 취약점이다. 펨토셀은 음영지역 해소를 위한 초소형 기지국 장비로, 공격자는 이 장비의 인증 프로세스 허점을 악용해 내부 네트워크에 침투한 것으로 분석된다.

SKT 역시 별도의 침해사고로 현재 조사가 진행 중이며, 업계에서는 양사 합산 과징금이 600억 원을 초과할 것으로 전망하고 있다. 이는 개인정보보호법 시행 이후 단일 업권에서 발생한 최대 규모의 제재다.

특히 주목할 점은 북한 연계 APT(지능형 지속 위협) 공격 정황이 포착되었다는 것이다. 이는 단순한 금전 목적의 해킹을 넘어 국가 기반시설을 겨냥한 사이버 안보 위협으로 사안의 심각성이 한층 높아졌음을 의미한다.

---

공통 패턴 분석: 반복되는 구조적 취약점

두 사건에서 발견되는 공통 패턴은 명확하다.

첫째, 주변 시스템의 보안 사각지대다. 기업들은 핵심 서버에는 높은 수준의 보안을 적용하면서도 펨토셀과 같은 에지(Edge) 장비나 협력업체 연동 구간의 보안에는 상대적으로 소홀했다.

둘째, 인증체계의 구조적 한계다. 단일 인증에 의존하거나, 인증 토큰의 유효성 검증이 미흡한 경우 공격자에게 침투 경로를 제공하게 된다.

셋째, 침해 탐지 및 대응의 지연이다. APT 공격의 특성상 장기간 잠복하며 정보를 수집하는데, 이상 징후 탐지 체계가 제대로 작동하지 않아 피해가 확산되었다.

---

기업·기관 대응 방안

이번 사태를 계기로 통신사를 포함한 대규모 개인정보처리자들은 다음과 같은 조치를 시급히 이행해야 한다.

1. 제로 트러스트(Zero Trust) 아키텍처 도입
내부 네트워크라 하더라도 모든 접근을 검증하는 보안 모델로 전환이 필요하다.

2. 에지 장비 보안 강화
펨토셀, IoT 게이트웨이 등 주변 장비에 대한 정기적인 취약점 점검과 펌웨어 업데이트 체계를 구축해야 한다.

3. 위협 인텔리전스 공유 확대
북한 등 국가 배후 공격에 대응하기 위해 정부 기관 및 동종 업계 간 위협 정보 공유를 활성화해야 한다.

4. 침해사고 대응 모의훈련 정례화
연간 1회 이상 실전형 침해 대응 훈련을 실시하고, 대응 프로세스의 실효성을 검증해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 인증기준 2.6.7 취약점 점검 및 조치]

>

정보시스템의 취약점을 정기적으로 점검하고, 발견된 취약점은 신속하게 조치해야 한다. 이번 사례에서 문제가 된 펨토셀 인증체계 취약점은 네트워크 장비에 대한 취약점 점검이 누락되었거나, 발견된 취약점에 대한 조치가 지연된 사례로 볼 수 있다. 시험에서는 "취약점 점검 대상 범위에 네트워크 장비, 보안장비 등이 포함되어야 하는지" 또는 "취약점 조치 우선순위 결정 기준"에 관한 문제가 출제될 수 있다.

---

기자 백남정 | 개인정보보호 전문 데스크