최근 국내 통신 및 금융 분야에서 연이어 발생하고 있는 해킹 사고는 디지털 전환 가속화라는 시대적 흐름 속에서 보안 시스템의 근본적인 재점검 필요성을 제기하고 있다. 과학기술정보통신부와 금융위원회는 이러한 상황을 엄중히 인식하고, 범부처 차원에서 침해사고 피해 최소화 및 재발 방지를 위한 종합적인 대응책 마련에 착수했다.

이번 브리핑에서 과학기술정보통신부는 KT 고객의 무단 소액결제 침해사고와 관련하여 민관합동조사단의 조사 현황과 향후 대응 방향을 상세히 밝혔다. 현재 조사단은 경찰과의 공조를 통해 용의자들이 검거됨에 따라, 해커의 불법 초소형 기지국이 KT 내부망에 접속한 경위, 피해자의 통신 탈취 방식, 소액결제에 필요한 개인정보 확보 경로 등을 집중적으로 조사 중이다. 특히, KT의 펨토셀 관리 및 운영 실태를 파악하고 문제점에 대해서는 시정 조치를 우선적으로 취했다. 또한, 불법 초소형 기지국의 KT 내부망 접속 및 동작 방식 분석을 위해 테스트 환경도 구축했다.

피해 규모 산정에 있어서도 기존 방식에서 벗어나 보다 정밀한 분석이 이루어졌다. 1차 브리핑 당시에는 민원이 제기된 피해자의 통화 기록만을 바탕으로 했으나, 조사단은 숨겨진 피해자를 파악하기 위해 소액결제를 이용했던 약 220만 명의 통화 기록 2,267만 건을 분석했다. 그 결과, 최초 확인된 4개의 불법 기지국 ID 외 추가 ID는 발견되지 않았으며, 최종적으로 362명, 약 2억 4,000만 원의 피해 규모와 2만 30명의 이용자가 불법 기지국에 노출되어 개인정보가 유출된 정황을 발표했다. KT는 추가 확인된 피해자에 대해 무상 유심 교체를 지원하는 등 사업자가 모든 피해 및 조치에 책임을 지기로 했다. 또한, 9월 9일부터는 정상적인 인증을 거친 기지국만 KT 내부망에 접속 가능하도록 조치하여 현재는 등록되지 않은 불법 기지국을 통한 내부망 접속이 불가능한 상태이다.

한편, KT는 어젯밤 외부 전문기업의 보안 점검 결과를 통해 추가적인 침해사고 사실을 인지하고 정부에 신고했다. 민관합동조사단은 이 신규 침해사고뿐만 아니라 최근 해킹 조직의 주장 등 국민 불안을 야기하는 사안들에 대해서도 사실관계를 신속히 파악하여 투명하게 공개하고 피해 방지를 위한 최선의 조치를 다할 계획이다.

정부는 최근 통신, 금융 등 국민 생활과 밀접한 분야를 대상으로 하는 침해사고의 심각성을 인지하고, 국가안보실을 중심으로 관계부처와 함께 범부처 합동으로 해킹 피해 최소화를 위해 노력하고 있다. 과학기술정보통신부는 국내 최고 보안 전문가들과 함께 현행 보안 체계 전반을 원점에서 재검토하여 임시방편적인 사고 대응이 아닌 근본적인 대책을 마련할 예정이다. 또한, 기업들이 고의로 침해사고 사실을 지연 신고하거나 미신고할 경우 처벌을 강화하고, 기업의 신고 없이도 정부가 조사할 수 있도록 제도를 개선하는 한편, 기업들의 자발적인 보안 투자 확대를 유도할 방침이다. AI 기술을 적극 활용한 국가 보안 체계 고도화에도 힘쓸 계획이다.

금융위원회는 롯데카드 정보유출 사고와 관련하여, 사고 신고 즉시 롯데카드 측에 강력한 소비자 보호 조치를 주문하고 유사 침해 방지를 위한 정보를 전 금융권에 전파했다. 금융감독원과 금융보안원도 현장조사에 착수하여 정보유출 경위, 내용, 보안 위규사항 등을 면밀히 파악하고 있다. 롯데카드는 부정사용 시 선보상, 추가 보안인증, 카드 재발급 등 소비자 보호 조치를 즉각적으로 취했으며, 현재까지 부정사용 피해는 나타나지 않고 있다.

이번 사고 조사 과정에서 당초 신고된 1.7GB를 훨씬 상회하는 총 200GB의 정보가 유출된 것으로 밝혀졌다. 롯데카드는 즉시 유출 내용을 확인하여 약 297만 명의 개인신용정보 유출을 확인했으며, 이 중 제한적으로 유출된 269만 명은 유출된 정보만으로는 부정사용 가능성이 낮으나, 일부 키인(key-in) 결제의 경우 취약점이 제기되어 이상거래탐지시스템(FDS)을 가동하고 차단 노력을 기울이고 있다.

금융위원회는 최근 연이어 발생하고 있는 금융권 해킹 사고에 대해 매우 엄중하게 인식하고 있으며, 해킹 기술과 수법이 고도화되는 반면 금융권의 대응이 이를 따라가지 못하는 측면이 있다고 진단했다. 이에 따라, 보안 투자를 부차적인 업무로 여기는 안일한 자세를 경계하며, 금융회사 CEO 책임하에 전산 시스템 및 정보 체계 전반을 긴급 점검하고, 점검 결과를 면밀히 지도·감독할 계획이다. 또한, 보안 사고 발생 시 사회적 파장에 상응하는 엄정한 결과 책임을 물을 수 있도록 징벌적 과징금 도입을 신속히 추진하고, CISO(정보보호최고책임자)의 권한 강화, 소비자 공시 강화 등 다양한 대책을 강구할 예정이다. 불가피한 침해사고 발생 시 금융회사가 신속히 시스템을 복구하고 피해자 구제에 나설 수 있도록 제도 개선 과제도 발굴·추진한다.

정부는 AI 선도국가 도약을 위해 해킹이라는 암초에 걸리지 않도록 정부, 금융회사, 유관기관이 힘을 합쳐 튼튼한 보안 체계를 구축해야 한다고 강조했다.