KT도 해킹 늑장 신고…통신사 보안 대응 또 '무방비'

KT가 자사 서버에 대한 해킹 침해 사실을 인지하고도 이를 3일 뒤에야 당국에 신고한 것으로 드러났다. 이는 관련 법에서 정해놓은 ‘24시간 내 의무 신고’ 기준을 어긴 것으로, 최근 SK텔레콤 사례에 이어 통신업계에서 반복되는 늑장 대응 문제에 대한 비판이 거세지고 있다.

19일 국회 과학기술정보방송통신위원회 소속 최수진 의원(국민의힘)이 한국인터넷진흥원(KISA)에서 확보한 침해사고 신고서에 따르면, KT는 해킹 관련 서버 침해 정황을 9월 15일 오후 2시에 인지했지만 실제 신고는 18일 밤 11시 57분경에야 이뤄졌다. 24시간 이내로 정해진 신고 기한을 명백히 초과한 셈이다. 이는 해킹 초기대응 및 확산 방지에 결정적인 골든타임을 놓쳤다는 점에서, 정보보안 관리의 허점을 내보인 사례로 해석된다.

KT 측은 이와 관련해 보안 전문 외부 업체에 의뢰해 진행하던 자체 점검 과정에서 침해 사실을 파악했고, 이후 내부 검토 절차를 거쳐 신고했다는 입장이다. 다만, 이미 지난 4월 SK텔레콤이 비슷한 사태로 늑장 신고 논란에 휘말린 전례가 있는 상황에서, 이 같은 반복은 통신업계 전반의 보안 대응 체계의 구조적 허약성을 보여준다는 지적이 나온다.

KT가 파악한 침해 정황은 총 6건에 달했다. 구체적으로는 윈도우 서버 침투 이후 다른 시스템으로의 이동 시도, 악성 봇 프로그램 감염, 원격 코드 실행을 통한 정보 유출, 인증 정보를 악용한 내부망 접근 성공 사례 등이 포함됐다. 리눅스 환경에서도 의심 계정 생성과 통신 장비 관리용 서버 접근 경로 탈취 정황이 보고됐다. 해당 침입이 실제로 유심 인증키 유출이나 다른 이용자 정보로 이어졌을 가능성에 대해 KT는 일단 ‘가능성 없다’는 입장을 고수하고 있다.

이번 해킹 사실은 19일 정부서울청사에서 열린 과학기술정보통신부 및 금융위원회의 사이버 보안 합동 브리핑 직전에야 공개됐다. KT는 전날까지만 해도 기자회견에서 해당 사실을 인지하지 못했다는 입장을 밝힌 바 있다. 이른바 ‘소액결제 무단 청구’와 관련된 보안 조사와 해킹 점검이 서로 별개로 진행됐고, 두 사안이 기술적으로도 직접 연결돼 있지 않다는 설명이다.

지속되는 해킹 사고와 정보 유출 우려 속에서 주요 통신사들이 기본적인 보안 의무를 성실히 이행하지 않는다는 비판은 더욱 거세질 전망이다. 향후엔 긴급 대응 체계를 강화하고, 내부 보안 프로세스를 보다 투명하게 운영해야 할 필요성이 커지고 있다. 이 같은 흐름은 결국 통신 소비자의 불신으로 이어질 수 있는 만큼, 기업 신뢰 회복을 위한 근본적인 개선 노력이 요구된다.