KT, 해킹 사실 알고도 1년 숨겼다? 기업 책임 논란 확산 중

 

KT, ‘BPF도어’ 감염 사실 알고도 신고 안 했다

KT가 지난해 3월 서버 43대가 악성코드 ‘BPF도어’에 감염된 사실을 파악하고도 정부에 1년 넘게 보고하지 않은 정황이 드러났다. 민관 합동 조사단은 이를 “엄중히 볼 사안”이라며 사실관계를 면밀히 조사 중이다.
이 악성코드는 서버에 은밀히 침투해 오랜 기간 활동을 숨기는 유형으로, 올해 초 SK텔레콤 해킹에도 이용된 것으로 알려졌다.

---

소액결제 해킹 여파 속 또 다른 충격

KT는 최근 소액결제 해킹 사건으로도 여론의 뭇매를 맞았다. 불법 초소형 기지국(펨토셀)을 악용한 방식으로 약 2만 명의 이용자 정보가 유출된 정황이 드러났기 때문이다.
당시 KT는 “핵심 정보는 안전하다”고 밝혔지만, 이번 서버 감염 사실이 추가로 확인되며 신뢰 논란이 다시 불붙고 있다.

---

법적 의무 위반 가능성

KT는 해킹 사실을 인지한 후 24시간 내 과학기술정보통신부나 한국인터넷진흥원(KISA)에 신고해야 하는 법적 의무를 지닌다.
그러나 KT는 자체적으로 백신을 돌려 흔적을 지우는 데 그쳤으며, 당국 보고를 하지 않은 것으로 조사됐다. 이로 인해 ‘고의 은폐’ 의혹이 불거졌다.

---

피해 서버에 담긴 정보와 위험도

KT가 감염 사실을 확인한 서버에는 이름, 전화번호, 이메일 주소, 단말기식별번호(IMEI) 등 이용자 개인정보가 저장돼 있었다.
KT는 “유출 정황이 발견되지 않았다”며 개인정보보호위원회(개보위)에 신고하지 않았지만, 전문가들은 BPF도어의 특성상 장기 잠복 가능성을 우려하고 있다.

항목감염 서버 수주요 데이터신고 여부

감염 시점	2024년 3~7월	이름·전화번호·IMEI	미신고
악성코드 종류	BPF도어, 웹셸	내부 시스템 접근 권한	자체 처리
신고 의무	24시간 내 정부 통보	개인정보위 신고 포함	위반 가능성

---

KT의 해명과 논란의 온도차

KT는 “악성코드 흔적은 발견됐지만 정보 유출은 없었다”며 은폐 의혹을 부인했다.
그러나 해킹 탐지 후 정부 보고 없이 내부에서 처리했다는 사실만으로도 ‘투명성 결여’ 비판이 거세다.

---

개보위, 본격 조사 착수

개인정보보호위원회는 “KT 서버 악성코드 감염 사건과 관련해 현장 조사에 착수했다”며 개인정보 유출 여부를 집중 점검 중이다.
이는 현재 진행 중인 ‘펨토셀 소액결제 사건’ 조사와 병행된다.

---

전문가 “유출 가능성 배제 어려워”

보안 전문가들은 “BPF도어는 탐지를 회피하고 장기간 서버 내에 잠복할 수 있어 유출 가능성을 완전히 배제할 수 없다”고 지적한다.
특히 동일 악성코드가 SK텔레콤 사례에서도 발견된 만큼, 통신사 보안 체계 전반의 점검이 필요하다는 목소리가 나온다.

---

향후 전망: 통신 3사 신뢰 회복이 관건

이번 사태는 단순한 기술적 문제를 넘어 통신사 전반의 ‘정보보호 거버넌스’에 대한 신뢰 위기다.
민관 합동 조사 결과에 따라 KT뿐 아니라 통신 3사 모두의 보안 관리 체계가 재점검될 가능성이 크다.

---