KT, "개인정보 유출 정황 최초 발생 작년 10월…SMS 인증 결제 피해도"

▲서창석 KT네트워크부문장이 17일 무단 소액결제 피해 관련 기자 브리핑에서 발언하고 있다. (김연진)

KT가 소액결제 피해와 관련한 데이터를 전수 조사한 결과 SMS 인증을 통해서도 무단 소액결제 피해가 일어난 사실이 새롭게 확인됐다. 불법 펨토셀 ID은 기존 4개에서 20개로 늘어났으며 개인정보 유출 우려가 있는 고객 수는 2197명이 추가된 2만2227명으로 나타났다.

서창석 KT 네트워크부문장(부사장)은 17일 서울 종로구 KT 광화문 사옥에서 열린 기자회견에서 “개인정보 유출 정황 최소 발생 시기는 지난해 10월로 확인됐다”며 “총 777건의 무단 소액결제 건수 중 SMS 인증을 통한 무단 소액결제 63건이 포함됐다”고 말했다.

이번에 추가로 발견 불법 펨토셀 ID 중 하나에 이용자 휴대전화가 접속한 사례는 지난해 10월 8일부터 시작됐고 총 접속 일수는 305일에 달했다. 해당 ID에선 소액결제 피해가 발생하진 않았지만 개인정보 유출 우려가 제기된다.

전수조사 결과 불법 펨토셀 ID는 기존 4개에서 16개가 추가 발견돼 총 20개로 확인됐다. 해당 펨토셀 ID 접속 이력이 있는 고객 수는 추가로 2197명이 파악돼 총 2만 2227명으로 집계됐다.

무단 소액결제 피해 고객은 기존 362명에서 6명이 추가된 368명으로 확인됐으며 해당 고객 6명의 소액결제 피해액은 총 319만 원이다. 이에 따라 소액결제 총 피해액은 2억4000만원으로 늘어났다.

기존에 확인된 4개의 ID에서 4건의 추가 피해 고객이 나왔으며 추가로 확인된 불법 펨토셀 ID 16개 중에서는 1개의 ID에서만 무단 소액결제 의심 건이 발생했다. 이에 따른 피해 고객 수는 2명이며 피해 지역은 안양시인 것으로 나타났다. 피해가 발생하진 않았지만 원주시 강릉시 등 강원권에서의 접속 이력이 추가로 나왔다.

KT는 2024년 8월 1일부터 2025년 9월 10일까지 이뤄진 모든 통신과금대행 결제내역 약 1억5000만 건을 들여다봤다고 설명했다. 소액결제 8400만 건과 DCB((Direct Carrier Billing) 결제 6300만 건이 모두 포함됐으며, ARS뿐만 아니라 SMS, PASS 인증을 통해 일어난 결제까지 확인했다. DCB 결제는 구글 플레이스토어, 애플 앱스토어 등 앱마켓에서 콘텐츠 구매 시 통신요금에 합산해 결제하는 방식으로 전자결제대행업체(PG)사를 거쳐 통신사 기반의 인증이 일어나는 소액결제와는 다른 형태로 진행된다.

KT는 전체 휴대폰과 기지국 간 4조300억 건에 달하는 접속 기록을 전수 조사해 불법 펨토셀을 탐지한 뒤 불법 펨토셀 ID 접속 이력과 전체 결제 데이터를 교차 검증하는 방식으로 분석을 진행했다. 시간대별 이동가입자식별번호(IMSI) 접속 수와 오류 응답 메시지 건수, 비정기적 펨토셀 활성화 동작을 확인해 비정상 패턴을 보이는 경우를 추렸다.

SMS 인증을 통한 결제는 추가로 발견됐지만, PASS 인증 및 DCB 결제에서는 이상 결제가 발생하지 않았다. 무단 소액결제가 최초로 발생한 시점은 당초 확인한 내용과 동일한 8월 5일이며, KT가 비정상적인 소액결제 시도를 차단한 9월 5일 이후 새로운 피해는 발생하지 않은 것도 확인됐다.

위약금 면제 요구가 높아지는 가운데 KT 측은 “민관합동조사단 결과 등을 토대로 피해 상황을 고려해 검토하겠다”며 신중한 태도를 보였다. KT는 이번 조사 결과를 개인정보보호위원회 등 관계 기관에 보완 신고했으며 추가로 피해가 확인된 고객에 대한 보호 조치도 이행 중이라고 밝혔다. 정부 조사 및 경찰 수사에 성실히 협조하겠다고 했다.

한편 KT 해킹 사건으로 꾸려진 민관합동조사단은 전날(16일) KT가 범행에서 쓰인 것으로 파악한 불법 펨토셀 ID 4개 외에도 20개 가량을 추가로 발견했다.