KT 서버 해킹 인지 후 1년 6개월 은폐 사건

KT는 2024년 3월부터 7월 사이 자사 서버 43대가 은닉성이 매우 강한 'BPF도어(BPFDoor)'와 웹셸 등 악성코드에 감염된 사실을 내부적으로 확인했다. 감염된 서버에는 가입자의 성명, 전화번호, 이메일 주소, 단말기 식별번호(IMEI) 등 개인정보가 저장돼 있어 유출 우려가 컸다. 그러나 KT는 이 사실을 한국인터넷진흥원(KISA) 등 당국에 신고하지 않고 자체 백신 프로그램으로만 대응하는 데 그쳤다. 특히 BPF도어는 공격자가 보낸 특정 '매직 패킷'을 수신해야 활성화되는 구조여서 일반적인 보안 점검으로는 탐지가 매우 어려운 악성코드였다. 이 시점의 미신고 결정이 이후 1년 6개월에 걸친 은폐 논란의 출발점이 됐다.

2025년 4월 SK텔레콤의 홈가입자서버(HSS)가 BPF도어 등 악성코드에 감염돼 가입자 2696만 명의 유심 인증키 등 정보가 유출된 사실이 공개되면서, 같은 악성코드가 통신업계 전반에 잠복해 있었을 가능성이 부각됐다. SK텔레콤 사태는 2021년부터 4년 가까이 내부망에 악성코드가 심어져 있었다는 사실이 뒤늦게 드러나면서 큰 파장을 일으켰다. 이를 계기로 보안업계와 정부는 다른 통신사들도 같은 공격에 노출됐을 가능성을 조사하기 시작했다. 그러나 KT는 이미 1년 전 자사 서버에서 같은 악성코드를 발견하고도 신고하지 않은 상태였다. 이 사실은 이후 취재를 통해서만 세상에 알려지게 된다.

2025년 5월 21일 보안 전문매체가 SK텔레콤을 공격한 것과 동일한 BPF도어 악성코드가 국내 2위 통신사인 KT 서버에도 침투한 정황이 있다고 단독 보도했다. 글로벌 보안기업 트렌드마이크로는 2024년 7월과 12월 두 차례에 걸쳐 한국 통신기업이 BPF도어 공격을 받은 사실을 탐지했다고 밝혔으며, 업계 관계자는 이것이 SK텔레콤과는 별개 회사에 대한 공격이라고 전했다. 이는 KT가 내부적으로 감염 사실을 인지하고도 침묵을 지키고 있던 시점에 나온 보도로, KT의 대응 방식에 의문을 제기하는 계기가 됐다. 그러나 KT는 이 보도 이후에도 상당 기간 공식적인 신고나 해명에 나서지 않았다. 국내 1·2위 통신사가 나란히 같은 해킹조직의 표적이 됐다는 점에서 업계 전반의 보안 관리 체계에 대한 신뢰가 크게 흔들렸다.

황태선 KT 최고정보보호책임자(CISO)는 2025년 7월 15일 기자간담회에서 KT가 체계적인 보안 활동으로 '국내 최고 수준의 정보보호 태세'를 유지하고 있으며 이상 징후나 특이사항이 없다고 강조했다. 그러나 이 발언은 KT가 이미 2024년 3월부터 서버 43대의 악성코드 감염 사실을 파악하고 있었다는 사실과 정면으로 배치되는 것이어서, 이후 은폐 정황이 드러나자 허위·기만 발언 논란으로 번졌다. 업계에서는 이 발언이 소비자와 투자자에게 잘못된 안전 신호를 준 것 아니냐는 비판이 제기됐다. KT는 이후 8월 불법 초소형 기지국(펨토셀) 해킹 사태 조사 과정에서 서버 폐기 시점을 허위로 제출하고 백업 로그 기록을 한 달 넘게 숨긴 정황까지 추가로 적발됐다. 이는 KT의 보안 사고 대응 방식 전반에 대한 신뢰를 크게 훼손했다.

KT는 최초 감염을 인지한 지 1년 6개월가량 지난 2025년 9월 18일에야 한국인터넷진흥원(KISA)에 2024년 서버 해킹 사실을 신고했다. 이는 SK텔레콤 해킹 사태 이후 통신업계 전반에 대한 당국의 조사 압박이 커지는 상황에서 나온 뒤늦은 조치였다. 개인정보보호법과 정보통신망법은 개인정보 유출 인지 시 지체 없이 신고하도록 규정하고 있어, KT의 장기 미신고는 법 위반 소지가 크다는 지적이 나왔다. 신고 이후 민관합동조사단이 꾸려져 KT 서버에 대한 정밀 조사에 착수했다. 조사단은 BPF도어의 흔적이 이미 지워진 상태였음에도 백신 프로그램을 돌린 흔적을 통해 감염과 은폐 정황을 재구성해냈다.

민관합동조사단은 2025년 11월 6일 KT가 2024년 3~7월 사이 발견한 서버 43대의 BPF도어·웹셸 감염 사실을 1년 6개월 가까이 당국에 신고하지 않고 은폐했다고 공식 확인해 발표했다. 조사단은 감염 서버에 가입자의 성명, 전화번호, 이메일, 단말기 식별번호 등 개인정보가 저장돼 있었다고 밝혔다. KT는 발표 직후 악성코드 침해 사실을 인지하고도 정부에 신고하지 않은 점과 신고가 지연된 점에 대해 공식 사과했다. 과학기술정보통신부는 이번 은폐 사실이 이용자에 대한 위약금 면제 사유에 해당하는지를 검토해 별도로 발표하겠다고 밝혔다. KT는 재발 방지를 위해 보안 관제 체계와 펨토셀 등 취약 설비 관리 체계를 강화하겠다고 약속했다.