"하필이면 해킹 의심 받는 서버 파기"…KT 조사에 난항 겪는 과기정통부

김영섭 KT 사장을 비롯한 임직원들이 11일 서울 종로구 KT 광화문빌딩 웨스트 사옥에서 최근 발생한 소액결제 피해와 관련해 고개 숙여 사과하고 있다. [사진=연합뉴스]

KT가 해킹 의혹이 제기된 서버를 파기한 사실이 드러나면서 과학기술정보통신부의 조사가 난항을 겪고 있다. 과기정통부는 민관합동조사단과 별도로 서버 파기 경위를 규명하기 위해 관련 장비 분석에 나선 것으로 확인됐다. 조사 결과에 따라 KT의 고의성이 밝혀질 경우 상응하는 조치를 취하겠다는 입장이다.

16일 통신 보안업계에 따르면 과기정통부는 KT가 ‘김수키 해킹’ 의혹을 받고 있는 서버를 파기해 해당 서버를 복구하는 대신 관련 장비를 조사하고 있다. 현장 출두 당시 해당 서버는 이미 파기돼 있었기 때문이다.

과기정통부는 한국인터넷진흥원(KISA)를 통해 연관된 장비를 조사하면서 해킹 정황을 분석하고 있다. 과기정통부 관계자는 “기존에 진행했던 조사와 비교했을 때 힘들어진 건 사실이다”라면서 “네트워크로 연결된 장비를 통해 해킹 여부를 파악 중”이라고 말했다.

이 관계자는 “이를 통해 기존에 파괴된 서버에서 어떤 정보가 나갔는지 알 수 있을 것으로 추정된다”며 “주어진 환경에서 최선의 방법으로 조사 중이다”라고 강조했다.

앞서 미국 보안·해킹 전문지 프랙은 ‘김수키 해킹’으로 KT와 LG유플러스의 원격제어 서비스 관련 인증서와 개인키가 유출됐다고 밝혔다. 과기정통부는 화이트 해커의 제보를 받고 양사에 자진신고를 권유했지만, 이들은 자체 조사 결과 문제가 없다며 이를 거부했다. 이후 해당 문제가 공론화되자 양사는 정부 조사에 협조했지만 KT는 이미 해당 서버를 파기한 것으로 알려졌다.

해당 서버는 라이선스 비용을 지불하던 가상머신(VM) 기반 구축형 솔루션을 사용하고 있었다. 구독형 전환 과정에서 사용이 종료됐다. 때문에 고의성은 없는 것으로 보인다.
 

그래픽=아주경제

KT는 지난해 9월 온프레미스 방식의 가상 원격상담시스템을 퍼블릭 클라우드 기반 SaaS 모델로 전환하기로 하고, 3월 10일 시범 운영을 거쳐 8월 1일 전국 전환을 완료했다. KT 측은 “해당 서버는 계약 종료 시 즉시 폐기 및 삭제되는 구조”라며 “복구나 포렌식이 불가능하다”고 해킹 사태와 서버 파기와는 관련이 없다는 입장을 밝혔다.

한국인터넷진흥원(KISA)은 KT의 서버 파기 경위에 대해 면밀히 조사 중이다. 

과기정통부 관계자는 “KT 측이 파기는 원래부터 예정된 일이었다고 주장했지만, 당국의 신고 권유 뒤 이를 인지하고 있었다면 남겨 놓는 게 맞았다”고 지적했다. 

과기정통부는 조사 결과에 상응하는 조치를 취하겠다고 밝혔다. 만약 해킹으로 판별된다면 고의성을 의심할 수밖에 없다는 얘기다. 과기정통부 관계자는 “침해 사고 발생 여부가 확인될 경우 이에 따른 조치를 취할 예정”이라고 밝혔다.

KT 측은 “서비스 전환은 올해 초부터 시작된 작업으로, 운영 성과가 우수하고 이용자 서비스 제공도 더 원활하다”며 “이에 따라 구독형 서비스 전환을 신속히 추진했고, 그 과정에서 기존 서비스가 중단된 것뿐”이라고 설명했다.

오는 24일 국회 과학기술정보방송통신위원회는 KT와 LG유플러스에 대한 청문회를 추진한다. 과방위는오는 19일 전체 회의를 열고 KT와 LG유플러스의 청문회 계획서를 채택할 예정이다. 과방위는 김영섭 KT 대표이사와 홍범식 LG유플러스 대표이사를 각각 증인으로 채택하고 출석을 요구할 계획이다.