CM 얼라이언스, SKT사건, 지난해 주요 사이버 사고로 지목
[HBN뉴스 = 이동훈 기자] KT 해킹 사건에 대한 당국의 최종 조사 결과가 발표된 이후, 해외 보안 전문가와 전문 매체를 중심으로 이번 사안의 심각성을 지적하는 경고가 잇따르고 있다. 특히 펨토셀 관리 부실과 관련한 구조적 취약성이 국제 보안 업계의 주목을 받는 양상이다.
업계에 따르면 포브스가 2020년 선정한 ‘세계 50대 여성 미래학자’ 중 한 명이자 호주 통신 기술 분석 기업 Market Clarity의 최고경영자(CEO) 사라 에반스는 지난달 30일 링크드인 게시글을 통해 KT 해킹 사건을 “지금껏 접한 사례 중 보안 영역에서의 무능과 태만이 가장 심각하게 드러난 최악의 사례 중 하나”라고 평가했다.
 |
| KT성남 본사 [사진=KT] |
샤라 에반스는 “기본적인 IT 정보보안 원칙이 수년간 조직적으로 무시됐고, 그 사실이 오랜 기간 전혀 발견되지 않았다는 점을 보여준다”며 “현재까지 확인된 정보 유출 규모가 조사 결과 발표에서 밝힌 수준에 불과하다는 점이 오히려 놀라울 정도”라고 언급했다.
그는 영국 IT 전문 매체 ‘더 레지스터(The Register)’에 실린 KT 해킹 관련 기사를 읽고 이 같은 의견을 남겼다.
해당 기사를 작성한 사이먼 샤우드 기자도 “내가 본 보안 사고 가운데서도 무능과 태만의 정도가 이례적이고 충격적인 사례”라는 평가를 링크드인에 남겼다.
미국 사이버 보안 전문 매체 ‘CISO 위스퍼러’도 이달 5일 ‘KT 펨토셀 보안 취약점 노출’이라는 제목의 기사에서 기업 정보보호최고책임자(CISO)들을 향해 경고 메시지를 내놨다. 매체는 한국 정부의 조사 결과를 인용해 “KT가 설치한 수천 개의 펨토셀에서 인증 및 암호화 제어 기능이 충분히 구현되지 않았다는 점이 확인됐다”며 “무단 접근, 도청, 결제 사기 가능성이 대두됐고, 규제 당국은 해당 펨토셀들이 개인정보와 국가 통신에 중대한 위험을 초래한다고 결론지었다”고 전했다.
CISO 위스퍼러는 이번 사건으로 KT 가입자뿐 아니라 한국 무선 통신 네트워크에 의존하는 다양한 기업들 역시 위험에 노출됐다고 지적했다.
KT 해킹 사건은 기존 이동통신사 해킹 사례와 달리 펨토셀이라는 특수 장비가 연관됐다는 점에서 해외 학계와 연구기관의 관심도 확대되고 있다.
지난해 12월 10일 영국 통신 전문 연구기관 ‘리싱크 테크놀로지 리서치’는 ‘KT의 사이버 공격, 당신이 생각한 것보다 더 심각하다’는 제목의 보고서를 발표했다.
이어 지난해 12월 27일부터 30일까지 독일 함부르크에서 열린 해커·보안 콘퍼런스 ‘카오스 커뮤니케이션 콩그레스(C3)’에서 KT의 펨토셀이 30분 만에 또다시 해킹되는 침투 테스트 결과가 발표되는 등 점차 해외에서도 파문이 일고 있는 모습이다.
한편 사이버 매니지먼트 얼라이언스에 따르면 2025년은 전 세계를 강타한 일련의 대형 사이버 공격으로 사이버 보안 역사에 깊은 흔적을 남겼다. 160억 개 이상의 로그인 자격 증명이 유출된 ‘메가 유출’, SaaS 공급망을 타격한 대규모 OAuth 침해, 의료 인프라를 광범위하게 마비시킨 랜섬웨어 공격 등이 발생하며 글로벌 기술·서비스·공급망 전반이 동시에 위협받았다.
사이버 매니지먼트 얼라이언스는 이러한 맥락 속에서 2025년 4월 발생한 SK텔레콤(SKT)의 USIM(유심) 정보 유출 사건을 2025년 주요 사이버 사고 사례 중 하나로 지목했다.
해당 보고서는 SKT의 이번 사고가 “통신 부문 역사상 가장 높은 수준의 규제 과징금을 기록한 사건”이라고 명시했다.
과학기술정보통신부와 민관 합동 조사 결과, 공격자들은 수년간 BPFDoor 변종 악성코드를 활용해 SKT의 HSS 시스템에 침투했고, 약 2696만 건의 IMSI 및 USIM 관련 데이터가 외부로 유출된 것으로 확인됐다. 단순 데이터 탈취를 넘어 SIM 스와핑·스푸핑 등 통신망 기반 공격 위험까지 열어둔 중대한 보안 사고로 평가했다.
사이버 매니지먼트 얼라이언스는 유출된 데이터를 통해 2차적인 보이스피싱, 스미싱은 물론 기기 복제 등 심각한 금융 범죄로 이어질 수 있다는 우려를 표현했다.
[ⓒ HBN뉴스. 무단전재-재배포 금지]
