13년 전 이미 경고된 펨토셀 해킹…KT 소액결제 피해, ‘예고된 참사’였다

이상휘 의원, “13년 전 경고 무시해 소액결제 해킹 참사의 나비효과로 돌아온 것”

2012년 정부 보고서서 인증토큰 복제·MITM 공격 경고…대책 없이 묵인

최근 KT 소액결제 해킹 사건으로 국민 불안이 커지는 가운데, 이미 13년 전 펨토셀 기술의 보안 취약성이 정부 연구를 통해 지적됐던 사실이 드러났다.

국회 과학기술정보방송통신위원회 소속 국민의힘 이상휘 의원(포항남·울릉)이 한국인터넷진흥원(KISA)으로부터 제출받은 자료에 따르면, KISA는 2012년 약 4천만 원의 예산을 들여 ‘펨토셀 및 GRX 보안 취약점’에 대한 연구를 수행한 것으로 확인됐다.

해당 연구는 ▲사용자 인증토큰 복제 ▲중간자(MITM) 공격 등 총 29건의 펨토셀 보안 위협을 제시했으며, 이는 이번 KT 해킹 피해의 핵심 원인으로 지목되는 취약점과 일치한다.

그러나 해당 연구 이후 실제 보안 보완 조치가 이뤄졌는지에 대한 성과관리 자료는 확인되지 않았다.

KISA는 문서 보존 기간 경과를 이유로 관련 자료를 제출하지 않았고, 별도 조치가 없었던 것으로 보인다.

이 의원은 “KISA가 13년 전 해킹 위험을 알고도 아무런 대책을 마련하지 않은 것은 명백한 직무유기”라며 “형식적인 보고서 작성에 그치지 말고, 실효성 있는 제도적 대책으로 이어져야 한다”고 강하게 비판했다.

한편, 펨토셀은 통신사들이 실내 통화 품질 개선을 위해 도입한 초소형 기지국으로, 2012년부터 상용화가 시작됐다. 하지만 보안에 취약하다는 지적은 꾸준히 제기돼 왔다.

▲이상휘 국회의원ⓒ이상휘 의원실 제공