[정치쇼] 김용대 교수 "KT 해킹 사태, SKT 보다 더 큰 개인정보 유출 가능성"

-KT 해킹, 처음 보지만 충분히 가능했던 시나리오
-'문자 탈취'가 핵심적 문제…두 가지 가능성 있어
-① 복제폰 만들어 소액결제 문자 대신 받는 경우
-② '초소형 기지국' 펨토셀 해킹해 개인정보 도청
-복제폰이라면 'SKT 사태'보다 정보 더 유출됐을 것
-개인의 소액결제 차단은 무소용…KT 차원에서 막아야
-명확한 증거 찾는 게 우선…복제폰이면 유심교체 필요
-펨토셀이면 망-단말기 간 문자 전달 암호화 구현해야
 
■ 방송 : SBS 김태현의 정치쇼 (FM 103.5 MHz 7:00 ~ 09:00)
■ 일자 : 2025년 9월 11일(목)
■ 진행 : 김태현 변호사
■ 출연 : 김용대 카이스트 ICT 석좌 교수
 
▷김태현 : KT 이용자들이 자신도 모르게 소액결제 피해를 입었다는 신고, 이게 잇따르고 있습니다. 이번 사건은 그간의 보이스피싱이나 스미싱 범죄와는 다른 그야말로 듣도 보도 못한 수법인데요. 왜 이런 일이 벌어지고 있는 건지 그리고 어떻게 막을 수 있는 건지 전문가와 함께 짚어보도록 하겠습니다. 김용대 카이스트 ICT 석좌 교수입니다. 전화로 연결돼 있습니다. 교수님, 안녕하세요.
 
▶김용대 : 네, 안녕하세요.
 
▷김태현 : 교수님, 이번에 일어난 이 KT 소액결제 해킹 사건이요. 이거 스미싱 문자를 받은 적도 없고요. 악성 링크를 누른 적도 없는데 수십만 원어치가 결제되는 피해, 이게 늘고 있는 건데 교수님이 보안 전문가신데 이런 거는 그동안 한 번도 보지도 못하셨던, 듣도 보도 못한 수법인 거 맞는 거죠?
 
▶김용대 : 아니요.
 
▷김태현 : 보셨어요?
 
▶김용대 : 아니요, 보지는 못했지만 충분히 가능한 시나리오라고는 생각을 하고 있죠.
 
▷김태현 : 이론적으로 그럼 평소에도 이런 게 있을 수도 있겠다 이렇게 생각을 하셨던 건가요?
 
▶김용대 : 네. 왜냐하면 소액결제가 문자 기반으로 돌아가기 때문에 문자를 대신 받을 수 있으면 소액결제는 당연히 마음대로 할 수 있겠죠.
 
▷김태현 : 그러면 일반적으로 소액결제가 제가 소액결제한다 그러면 제 문자로 오잖아요. 근데 그 문자를 제 휴대전화를 안 받고 다른 전화기에서 가로챌 수 있으면 그 사람이 저도 모르게 소액결제할 수 있다, 이런 말씀이신 거잖아요.
 
▶김용대 : 네, 맞습니다.
 
▷김태현 : 이게 그러면 이론적으로만, 교수님 머릿속으로만 생각하시던 게 실제 누군가가 구현해서 범행으로 이어졌다 이런 건가요?
 
▶김용대 : 그렇다고 볼 수 있습니다.
 
▷김태현 : 지금 보니까 어제 정부가 긴급 브리핑을 했는데 KT가 자체 파악해 보니까 지금까지 피해 건수 278건, 금액은 1억 7000여만 원. 피해 사례들 발표가 되고 있는데 교수님 어디에 주목해서 보셨어요?
 
▶김용대 : 일단은 문자 탈취가 가장 핵심적인 문제인 것 같고요. 그래서 제가 한 두 가지 정도의 문자 탈취가 되기 위한 시나리오를 거의 소설 쓰듯이 조금 써봤는데요. 그 두 가지 다 하나씩 말씀드려볼까요?
 
▷김태현 : 예, 그래 주시죠.
 
▶김용대 : 첫 번째는 우리 SKT 때 한참 떠돌았던 복제폰이 생길 수 있다면 복제폰이 문자를 대신 받게 됩니다. 그런데 복제폰이 만들어지기 위해서 필요한 조건은 SKT 때처럼 HSS 유심 인증 정보가 포함된 서버가 해킹이 돼야 되고 그리고 또 그때 한참 떠돌았던 IMEI라고 있었죠, 단말기 식별자. 단말기 식별자도 나가야 되고 그 상황에서라면 복제폰이 만들어질 수도 있고 복제폰이 만들어지면 예를 들어서 그러니까 앵커님의 복제폰이 만들어지면 앵커님은 네트워크에서 떨어지고 복제폰만 앵커님 대신해서 네트워크에 붙도록 돼 있거든요.
 
▷김태현 : 그래요.
 
▶김용대 : 그러면 문자가 이제 그 복제폰으로 날아가는 거죠.
 
▷김태현 : 그게 하나 있고 또 하나는 뭔가요?
 
▶김용대 : 그게 첫 번째 시나리오고 두 번째가 어제 발표 났던 펨토셀 관련된 시나리오가 하나가 더 있는데요. 펨토셀은 원래 통신사에서 공식적으로 사용자들에게 배포를 하는 기기예요. 그리고 공유기같이 생겼는데 예를 들어서 군부대 같은 거를 생각해 보시면 산골 벽지에 있는 군부대에 기지국을 깔기는 너무 비싸잖아요. 그럴 경우에 인터넷에다가 이 펨토셀이라는 장비를 꽂으면 그러면 거기에 작은 기지국 같은 역할을 하는 애가 펨토셀인 거예요. 근데 펨토셀은 기지국이고 휴대폰부터 기지국까지의 통신은 암호화가 되어 있어요. 그런데 펨토셀에서는, 그러니까 기지국에서는 일단은 암호화가 풀립니다. 그래서 통화고 문자고 에어 구간, 그러니까 무선 구간에서는 암호화돼 있는데 펨토셀에서는 풀리니 그러면 누군가가 펨토셀 해킹을 원격에서 한다거나 혹은 해킹된 펨토셀을 KT 망에다가 꽂는다거나 이렇게 됐을 때는 해킹을 하고 나면 그다음에는 문자나 통화 내용 이런 것들 도청도 할 수 있습니다.
 
▷김태현 : 그러면 교수님, 어떤 형태로든지 이게 복제폰이든지 펨토셀이든지 간에 어떤 형태로든지 이게 뭔가 KT 쪽이 해킹이 됐다는 말씀이신 거잖아요. 그렇죠?
 
▶김용대 : 네. 그러니까 첫 번째 KT 복제폰 같은 경우는 거의 SKT 정도에다가 아마 개인정보까지 더 나갔을 거고 아마 이제 이 펨토셀 같은 시나리오도 소액결제를 하기 위해서는 개인정보가 필요하기 때문에 그거 관련된 개인정보들도 나갔을 수밖에 없는 것 같아요.
 
▷김태현 : 그러면 교수님, 이게 지금 KT고 통신사가 그다음에 지역이 몇몇 지역에 좀 집중돼 있거든요. 그러면 이게 KT를 쓰고 있는 다른 지역으로 확산이 된다든지 아니면 SKT나 LG 다른 통신사로도 확산이 된다든지 이럴 가능성이 있습니까?
 
▶김용대 : 두 가지 다 굉장히 기술적인 답변인데요. 아까 복제폰 경우는 왜 몇 군데만 가능했는가를 생각해 보면 SKT 사고 때 기억하실지 모르겠지만 FDS라고 이상 행위 탐지 시스템이 있어요. 그런데 복제 휴대폰이 원래 내가 있는 기지국 이외에 다른 곳으로 갑자기 뻥 뛰어서 갑자기 서울에 계신데 대전에 갑자기 똑같은 폰이 나타날 수가 없잖아요, 전화기가. 그러니까 그런 거를 탐지하는 시스템이 있으면 제가 같은 기지국 안에 있어야 되기 때문에 그렇다면 예를 들어서 해커의 복제폰도 금천구에 있었던 거고 피해자도 금천구에 있을 때 복제폰 시나리오가 실제로 완성이 되는 거고요, 아마 그 이상 행위 탐지 시스템 때문에. 펨토셀 같은 경우는 결국은 펨토셀 장비를 설치해야 되거든요. 근데 그 장비를 설치한 곳이 금천구나 영등포나 그 동네에 설치를 했으면 그러면 이제 그 주위에 있는 사용자들이 영향을 받는 것이고요.
 
▷김태현 : 그러면...
 
▶김용대 : 말씀하세요.
 
▷김태현 : 그러면 지금 KT에서 발빠르게 대처하면 지역이 확산되는 걸 막을 수도 있다, 이런 건가요?
 
▶김용대 : 아니요.
 
▷김태현 : 그것도 아니에요?
 
▶김용대 : 그게 왜냐하면 지난 10년 동안 KT에서 펨토셀을 한 10만 개 정도 뿌렸다고 보도가 나오더라고요.
 
▷김태현 : 그러니까 또 안 되는구나.
 
▶김용대 : 그런데 10만 개 정도 뿌려진 상황에서 그 뿌려진 펨토셀을 누군가가 중고마켓이나 이런 데서 사서 그거를 해킹을 하고 그냥 다시 KT망에 연결하면 그때부터 도청이 가능해지기 때문에 그렇기 때문에 지금으로서는 만약 펨토셀을 이용한 도청이라면 특별히 할 수 있는 게 지금은 아마 가장 그러니까 단기 솔루션으로는 KT를 이용한 소액결제를 막는 게 하나의 단기 솔루션일 것 같아요.
 
▷김태현 : 그러면 교수님, 이 피해가 앞으로 더 확산될 수도 있다 이런 말씀이신데 이거 피해를 막아야 되잖아요. 솔직히 말씀드리면 저 KT 쓰거든요. 이거 안 당하려면 어떻게 해야 돼요? 소액결제를 완전히 차단시켜야 되나요? 휴대폰 소액결제.
 
▶김용대 : 아마 근데 본인이 소액결제를 차단하더라도 해커가 KT 앱 있잖아요. 복제폰을 만들든 아마 펨토셀을 이용하건 KT 앱의 문자 인증을 통해서 또 로그인을 해버리면.
 
▷김태현 : 그래서 풀 수가 있다, 그것까지.
 
▶김용대 : 그러면 또 풀 수가 있기 때문에 그래서 제가 이야기한 게 KT에서 아예 소액결제를 막는 게 단기 솔루션이라고 생각하는 거죠.
 
▷김태현 : KT 통신사 차원에서 소액결제를 차단하는 거요. 그럼 KT에서 당장 이렇게 하면 되지 왜 안 하는 거예요? 이게 회사 수익과 연관이 있어서 그런 건가요, 혹시?
 
▶김용대 : 잘 모르겠습니다. 그거는 제가 아직 KT랑 얘기를 해 보지 못해서.
 
▷김태현 : 알겠습니다. 일단은 피해를 더 막으려면 KT가 자체적으로 소액결제를 차단하는 방법이 제일 좋다는 말씀이시고.
 
▶김용대 : 그러니까 현재로서는 그렇고요. 그런데 당연히 장기 솔루션, 조금 바꿔야 되는 것들은 일단은 이게 당연히 복제폰인지 아닌지 복제폰인지 펨토셀인지 그거에 대해서 명확하게 증거를 찾아야 되고.
 
▷김태현 : 그래야 되겠죠.
 
▶김용대 : 복제폰일 경우에는 아마 유심 교체를 해야 될 수가 있고요.
 
▷김태현 : 그래요.
 
▶김용대 : 그리고 이게 만약 펨토셀이라면 제가 말씀 안 드린 것 중에 아까 SKT는 왜 당할 가능성이 없냐고 물어보셨는데 지금 사실 문자 전달 방법이 두 가지가 있어요.
 
▷김태현 : 방법이 다르구나.
 
▶김용대 : 조금 기술적인 용어인데 SKT에서 사용하고 있는 거는 이동통신망 쪽에서 휴대폰까지 문자가 암호화돼서 전달되는 방식을 쓰고 있고요. 지금 KT에서 쓰고 있는 거는 펨토셀에서 풀리는 그런 방식을 쓰고 있는 것으로 보여요. 그래서 SKT 같은 메커니즘, 둘 다 표준을 준용하는 것이긴 한데 지금 상황에서는 SKT 같은 선택. 말하자면 망에서 단말기까지 암호화돼서 문자가 전달되는 상황이 훨씬 더 좋을 것 같은데요. 그거를 구현을 하는 데는 시간이 좀 걸리겠죠.
 
▷김태현 : 알겠습니다. 앞으로 민관조사단의 조사 결과 지켜보도록 하겠고요. 오늘 말씀은 여기서 마무리하도록 하겠습니다. 지금까지 김용대 카이스트 ICT 석좌 교수였습니다. 교수님, 감사합니다.
 
▶김용대 : 네, 감사합니다.

인터뷰 자료의 저작권은 SBS 라디오에 있습니다.
전문 게재나 인터뷰 인용 보도 시,
아래와 같이 채널명과 정확한 프로그램명을 밝혀주시기 바랍니다.

[SBS 김태현의 정치쇼]