KT의 무단 소액결제 논란이 서버 해킹 사실까지 드러나면서, 사건의 파장이 점점 커지고 있다. 일부 고객의 민감한 정보가 유출된 정황까지 확인되며, KT의 보안 대응 능력과 사후 처리 방식에 대한 비판 여론이 확산되고 있다.

KT는 올해 4월부터 약 4개월간 외부 보안업체를 통해 사내 전체 서버를 점검해 왔고, 이 과정에서 서버 침해 흔적 4건과 의심 정황 2건을 최근 확인한 뒤 9월 18일 한국인터넷진흥원에 해당 사실을 신고했다. 그러나 이보다 앞선 9월 15일, 이미 관련 정황을 인지하고도 공식 발표 과정에선 이를 누락해 언론과 소비자들에게 사실을 은폐하려 한 것 아니냐는 지적이 제기됐다. KT는 서버 점검과 소액결제 조치가 다른 부서에서 진행돼 내부 소통이 부족했다는 입장을 밝혔다.

사태 초기, KT는 개인정보 유출 가능성을 부인했지만 이후 소액결제에 사용된 고객 식별 정보(IMSI)와 단말기 번호(IMEI), 전화번호가 실제로 유출됐다고 뒤늦게 인정했다. 여기에 서버 해킹 가능성까지 포함되면서, 복제폰 등 2차 피해로 이어질 수 있다는 우려도 나오고 있다. 현재까지 불법 결제 피해자는 362명, 피해액은 약 2억4천만원에 이르며, 무단 기지국(이른바 ‘펨토셀’) 감청에 노출된 고객은 2만 명을 넘어선 상태다.

정부는 9월 19일 과학기술정보통신부와 금융위원회 주도로 합동 브리핑을 열고 이번 사건에 대응하기 위한 대책을 발표했다. 국가안보실 주도로 관계 부처가 참여해 보안 침해 피해 최소화에 나서겠다는 것이 핵심이다. 특히 기업이 침해 사실을 고의로 누락하거나 신고를 지연할 경우 과징금 부과를 포함해 징벌적 제재를 강화하고, 기업이 자율적으로 정보보호 투자에 나설 수 있게 제도 보완도 검토하겠다고 밝혔다. 금융위원회 역시 금융회사 전산 시스템 전반의 긴급 점검에 나서고 있으며, 최고정보보호책임자(CISO)의 권한 강화를 포함한 제도적 보완책도 마련할 예정이다.

하지만 이번 정부 발표에 대해 구체적인 실행 방안보다는 원칙적 수준에 그쳤다는 비판도 나오고 있다. 해킹 피해가 하드웨어 기반 정보통신과 금융 시스템 전반으로 확산되는 가운데, 과기정통부와 금융위 중심의 대응 체계가 복잡한 사이버 위협에 적절히 대응할 수 있을지에 대한 의문이 제기된다. 특히 민간 기업에게만 책임을 떠넘기기보단, 정부 차원의 통합 보안 거버넌스를 마련해야 한다는 목소리도 커지고 있다.

이번 사태는 특정 기업의 보안 허점을 넘어, 국내 전반적인 정보보안 체계의 취약성을 여실히 드러낸 사례로 평가된다. 향후 유사한 사건이 다시 불거지지 않기 위해서는 정부와 민간이 협력해 실효성 있는 보안 체계를 구축하고, 고객 정보를 안전하게 보호할 수 있는 실질적인 대응이 필요하다. 이 같은 흐름은 사이버보안 관련 법과 기업 책임 체계 전반을 재정비하는 출발점이 될 가능성이 있다.