악성코드 감염 'KT 서버', 개보위 "개인정보 유출 조사"

| 스마트에프엔 = 양대규 기자 | 악성코드 ‘BPF도어’(BPFDoor)에 감염된 KT 서버에서 개인정보 유출 여부에 논란이 커지고 있다.

7일 정부에 따르면 KT 해킹 사고를 조사 중인 민·관 합동조사단은 전날 브리핑에서 KT가 지난해 3∼7월 사이 BPF도어와 웹셸(Webshell) 등 악성코드에 감염된 서버 43대를 자체적으로 파악하고도 관련 기관에 신고하지 않았다고 밝혔다. 조사단은 이 서버들에 가입자 성명, 전화번호, 이메일 주소, 단말기식별번호(IMEI) 등이 포함돼 있었다고 설명했다.

문제가 된 BPF도어는 탐지를 피하며 장기간 잠복하는 특성이 있어 은밀하게 공격을 지속하는 ‘은폐형 악성코드’로 알려져 있다. 올해 초 SK텔레콤 해킹 사고에서도 동일 계열 악성코드가 사용됐다.

KT는 개인정보 유출 신고 요건에 해당하지 않는다고 판단했다는 입장이다. 개인정보 유출 사실을 알게 되면 72시간 내에 신고해야 하는 개인정보보호법 시행령 규정에도 불구하고 신고가 이루어지지 않은 이유다. 

KT 관계자는 "민관합동조사단도 개인정보 유출이 확인된 내용은 없다고 발표했다"며 "KT의 입장도 같다. 개인정보 유출 정황이 보이지 않아 신고하지 않은 것"이라고 밝혔다.

업계 일부는 SK텔레콤 사례를 감안하면 KT 역시 유출 가능성을 완전히 배제하긴 어렵다는 분석이다. SK텔레콤은 해킹으로 2324만여 명의 LTE·5G 가입자 정보가 유출된 사실이 확인됐으며 해당 서버에서는 BPF도어 계열을 포함해 총 33종의 악성코드가 발견됐다. 이에 개인정보보호위원회는 SK텔레콤에 역대 최대 규모의 과징금과 과태료를 부과한 바 있다.

개인정보보호위원회는 KT 사례에 대해서도 개인정보 유출 여부와 신고 지연 가능성을 함께 점검할 계획이다. 정부는 KT가 자체 파악한 감염 서버의 범위와 보안 조치 적정성 등을 종합적으로 들여다보겠다는 방침이다.