서울YMCA 시민중계실은 26일 “민관합동조사단이 쿠팡 사건으로 여론의 관심이 분산된 틈을 타 KT 사태의 본질을 충분히 규명하지 않은 채 형식적인 조사 결과를 발표하고 사건을 덮으려 한다는 우려가 제기되고 있다”며 “조사결과 발표 이후 충분한 기간 전 고객 위약금 면제 등 이용자 선택권을 보장해야 한다”고 밝혔다.
사진=뉴스1
서울YMCA는 “지난 9월 무단 소액결제 피해 사건을 계기로 개인정보 유출, 서버 해킹, 증거 인멸 의혹에 대한 조사가 시작된 지 약 100일이 지났지만, 이용자들은 유출 정보와 규모, 2차 피해 위험, 보호조치 등을 제대로 알지 못한 채 방치돼 있다”고 주장했다.
단체는 KT 해킹을 “2025년 국내 대규모 개인정보 유출 사고 중 직접적인 재산상 피해가 발생한 유일한 사건”으로 규정하고, KT 보안 거버넌스 전반의 허점을 지적했다.
전국 펨토셀 기지국을 단일 인증키로 관리한 점, ARS·SMS 인증이 해커에 의해 복호화될 수 있는 상태로 방치된 점, 일부 환경에서 문자 암호화가 미비했다는 점 등을 들어 “총체적 부실”이라고 비판했다.
침해 서버 43대서 핵심정보…“전 고객 유출 가능성”
민관합동조사단이 악성코드 감염이 확인된 43대 서버에 이름, 전화번호, 이메일주소, 단말기식별번호(IMEI) 등 핵심 개인정보가 저장돼 있었다고 발표한 것과 관련해 서울YMCA는 “서버 규모 등을 감안하면 현재까지 알려진 2만 명을 넘어 KT 전 고객의 개인정보가 유출됐을 가능성이 높다”고 주장했다.
특히 단체는 단말기식별번호(IMEI), 국제이동가입자식별번호(IMSI)와 같은 통신 식별정보, 전화번호, 이름, 이메일 주소 등이 유출됐을 가능성과 통신 내용 도청 가능성을 거론하며 “단순한 정보 유출을 넘어 개인의 삶 전체가 무방비로 노출될 수 있는 중대한 사안”이라고 강조했다.
“서버 폐기 이유로 ‘추가 유출 못 찾았다’면 면피성 종결”
단체는 “만약 합조단이 서버 폐기 등을 이유로 ‘추가 유출을 발견하지 못했다’는 취지로 발표하며 유의미한 조치 없이 사건을 마무리한다면, 기업이 시간 끌기와 은폐·축소로 책임을 회피할 수 있다는 부정적 선례가 된다”고 경고했다.
또 “이런 선례는 쿠팡 사례에도 반복될 수 있다”며 쿠팡이 “검증되지 않은 자체조사 결과 발표 등으로 과기정통부와 민관합동조사단을 ‘패싱’하는 행태를 보였다”고 비판했다.
“위약금 면제는 이용자 선택권”…87일 사례도 거론
이용자 보호조치로 서울YMCA는 ‘위약금 면제’를 핵심 요구로 내세웠다. 단체는 과거 SKT 사고 당시 “가입자가 유심 정보 유출 정황을 인지한 이후 87일간 위약금 면제가 적용된 바 있다”고 언급하며, KT 이용자도 사건 전말을 인지한 시점부터 충분한 숙고 기간이 보장돼야 한다고 주장했다.
아울러 과기정통부와 방송통신위원회가 기지국 인증 체계 부실, 문자 암호화 미비, 서버 보안 실패 논란에도 신규 가입 영업이 지속되도록 방치해 신규 이용자 역시 보안 위협에 노출되고 있다고 지적했다.
인식조사 “강력 제재 84.0%…위약금 면제 필요 83.3%”
서울YMCA는 국회 과학기술정보방송통신위원회 소속 더불어민주당 이정헌 의원실과 함께 12월 22일 발표했다고 밝힌 ‘KT·쿠팡 해킹 관련 이용자 인식조사’ 결과도 제시했다.
조사에 따르면 KT·쿠팡 이용자 85.4%는 연이은 보안사고로 2차 피해 가능성이 높다고 답했고, 67.4%는 KT 신규 영업 중단이 필요하다고 응답했다. 전 고객 대상 위약금 면제가 필요하다는 응답은 83.3%였으며, 위약금 면제 기간은 90일 이상이 필요하다는 응답이 69.5%로 나타났다. 정부의 강력한 제재 조치를 요구한다는 응답은 84.0%로 제시됐다.
서울YMCA “정보 공개·위약금 면제·신규영업 중단·원칙적 제재”
서울YMCA 시민중계실은 정부와 합조단, KT에 네 가지를 요구했다.
첫째, 침해 서버가 관리하던 정보의 종류와 규모, 유출 가능성, 예상되는 2차 피해 위험을 충분히 공개할 것이다.
둘째, 조사결과 발표 이후 전 고객 위약금 면제를 충분한 기간 시행해 이용자 권리를 보장할 것이다.
셋째, 총체적 보안 문제가 해소될 때까지 신규 영업 정지를 행정지도할 것이다.
넷째, KT에 대한 엄중 제재 원칙을 쿠팡 사례에도 일관되게 적용할 것이다.
단체는 최종 조사결과를 지켜본 뒤 필요하면 정부 대응 과정과 조사결과에 대해 감사원 공익감사 청구도 검토하겠다고 밝혔다.
