KT 홈페이지 해킹 개인정보 유출 사건 (2014)

해커들은 2013년 무렵부터 약 1년에 걸쳐 KT 홈페이지에서 고객 개인정보를 조금씩 빼내기 시작했다. 이들은 텔레마케팅 영업에 쓸 고객 정보를 확보할 목적으로 조직적으로 움직였다. 하루에 20만~30만 건씩 정보를 빼돌리며 장기간 탐지를 피했다. KT의 홈페이지 접근 통제와 이상행위 탐지 체계가 이를 오랫동안 걸러내지 못했다. 결과적으로 누적 유출 규모가 1200만 건에 이르게 됐다.

이번 해킹에는 홈페이지 취약점 분석에 흔히 쓰이는 오픈소스 웹 프록시 프로그램 '파로스(Paros)'가 동원됐다. 해커들은 파로스를 변조해 고객의 아홉 자리 고유번호를 자동으로 무작위 대입하는 방식으로 홈페이지에서 개인정보를 긁어냈다. 파로스는 인터넷에서 누구나 쉽게 내려받을 수 있어 초보자도 쓸 수 있는 도구였다. 이처럼 흔한 도구에 뚫렸다는 사실은 KT가 기본적 보안 수준조차 지키지 못했음을 보여줬다. 보안 전문가들은 통신사의 허술한 방어 체계를 강하게 질타했다.

2014년 3월 6일 경찰 수사로 KT 가입 고객 약 1600만 명 가운데 1200만 명의 개인정보가 유출된 사실이 확인됐다. 유출된 항목에는 이름과 주민등록번호는 물론 은행계좌, 요금제, 사용 요금 등 민감한 정보가 포함됐다. 통신 가입 정보 특성상 범죄에 악용될 위험이 큰 자료들이었다. 국내 대표 통신사에서 벌어진 초대형 유출이라 파장이 컸다. 경찰은 관련자들을 붙잡아 정보통신망법 위반 등 혐의로 수사했다.

수사 결과 텔레마케팅 업체 대표 박모 씨가 전문 해커 김모·정모 씨와 짜고 KT 정보를 빼돌린 것으로 드러났다. 이들은 빼낸 고객 정보를 휴대전화 개통 영업 등 텔레마케팅에 활용하며 부당 이득을 챙긴 것으로 조사됐다. 개인정보가 단순 유출을 넘어 실제 영업에 상업적으로 쓰였다는 점에서 죄질이 무겁게 평가됐다. 유출 정보가 시장에서 금전적 가치를 지닌 채 거래·활용됐음이 확인됐다. 이는 개인정보가 범죄 수익의 원천이 되는 전형적 사례였다.

KT는 사건 초기 고객 정보 유출이 없다는 취지로 해명했다가 하루 만에 대규모 유출 사실을 인정하며 입장을 뒤집었다. 이 같은 오락가락하는 대응은 이용자들의 불신을 키웠다. 반복되는 통신사 개인정보 유출에 대한 소비자 불만이 폭발했다. KT는 사과와 함께 재발 방지 대책을 내놨지만 신뢰 회복은 쉽지 않았다. 늑장·번복 대응은 이후 기업 위기관리의 실패 사례로 거론됐다.

이번 사건은 KT가 겪은 대형 개인정보 사고의 하나로, 2012년 870만 명 유출에 이어 다시 벌어진 것이어서 재발 논란이 컸다. 통신사가 방대한 가입자 정보를 다루면서도 기본적 보안 투자를 게을리했다는 비판이 이어졌다. 사건을 계기로 개인정보 유출 시 기업 책임과 과징금을 강화해야 한다는 목소리가 높아졌다. 정부는 통신·금융권의 개인정보 보호 실태 점검에 나섰다. KT의 잇단 해킹은 이후에도 통신 보안 문제를 상징하는 사례로 회자됐다.

정보가 유출된 고객들은 KT를 상대로 손해배상을 청구하며 회사의 관리 책임을 물었다. 소송에서는 KT가 정보보호 조치 의무를 제대로 이행했는지가 핵심 쟁점이 됐다. 흔한 오픈소스 도구에 뚫린 만큼 회사의 과실 여부가 집중적으로 다뤄졌다. 사건은 통신 가입 정보가 얼마나 쉽게 새어나갈 수 있는지를 각인시켰다. 이후 통신업계 전반에서 홈페이지 보안 점검과 접근 통제 강화가 이뤄졌다.