KT 고객들을 대상으로 발생한 대규모 무단 소액결제 사태가 KT 측의 공식 브리핑 이후에도 의문점만 증폭시키며 미궁 속으로 빠져들고 있다. 사측이 범행의 핵심 경로로 지목한 '가짜 기지국(펨토셀)'만으로는 범죄가 성립하기 어렵다는 전문가들의 분석이 잇따르면서, 사태의 전말을 규명하기 위한 민관합동조사단의 역할이 더욱 중요해졌다.

현재까지 공식 집계된 피해 규모는 총 278건, 약 1억 7000만 원에 달한다. 이번 사건은 피해자가 특정 링크를 클릭하거나 악성 앱을 설치하는 기존의 피싱·스미싱과는 전혀 다른 양상으로, 이용자가 인지하지 못하는 사이 범죄가 발생했다는 점에서 통신 보안 시스템에 대한 근본적인 우려를 낳고 있다. KT는 자체 조사 결과, 범죄 조직이 관리 부실 상태에 있던 구형 초소형 기지국 '펨토셀'을 불법 개조해 고객 통신 트래픽을 가로챈 것으로 추정된다고 밝혔다.

하지만 이 설명은 또 다른 의문을 낳는다. KT는 이 가짜 기지국을 통해 유출된 정보가 가입자식별번호(IMSI)가 전부라고 선을 그었다. IMSI는 가입자 고유 정보이긴 하나, 이것만으로는 유심 복제나 소액결제가 불가능하다. 범죄가 성공하려면 인증 문자나 음성 통화 가로채기는 물론, 주민등록번호와 같은 추가적인 개인정보가 반드시 필요하기 때문이다. 결국 해커들이 IMSI 외에 다른 핵심 개인정보를 어떤 경로로 확보했는지가 이번 사태의 열쇠지만, 이 부분에 대해서는 전혀 밝혀진 바가 없다.

이에 민관합동조사단은 IMSI 유출 경로와는 별개로, 범죄에 사용된 추가 개인정보의 출처를 파악하는 데 수사력을 모으고 있다. 전문가들은 가짜 기지국을 통한 IMSI 탈취가 이번 범죄의 여러 조각 중 하나일 뿐, 이미 다크웹 등을 통해 유통되는 다른 개인정보 DB와 결합했을 가능성에 무게를 두고 있다. 즉, 이번 사태가 단일 해킹 사건이 아닌, 여러 데이터 유출 사고가 결합된 고도화된 조직범죄일 수 있다는 분석이다.

비록 범죄의 전체 경로가 명확히 드러나지 않았더라도, KT의 보안 관리 책임론은 피하기 어려울 전망이다. 허가되지 않은 기지국 장비가 KT의 핵심 통신망에 접속할 수 있었다는 점, 그리고 국제 표준 프로토콜과 달리 IMSI와 같은 중요 정보를 암호화하지 않고 관리했을 가능성이 제기된다는 점에서 기본적인 보안 체계에 허점이 있었다는 비판이 나온다.

현재로서는 섣부른 책임 공방보다는 민관합동조사단의 신속하고 투명한 조사를 통해 공격의 전모를 파악하고 추가 피해를 막는 것이 급선무라는 목소리가 높다. 이번 사태는 기업의 책임과 별개로, 국가 기간 통신망을 위협하는 신종 범죄에 대응하기 위한 정부 차원의 역할과 제도 강화가 시급하다는 과제를 남겼다.