해커 조직이 KT의 펨토셀(초소형 기지국)을 노려 KT 네트워크망에 침투한 것은 KT가 애초 펨토셀 관리를 허술하게 했기 때문에 가능한 일이라고 보안 업계는 지적한다.

우선 KT가 전체 펨토셀(24만여 대)의 인증키를 동일하게 설정한 것부터 문제였다. 인증키 하나만 확보하면 전체 펨토셀망에 접속이 가능했던 것이다. 인증키는 시스템이나 네트워크에 들어가기 전에 ‘너 진짜 맞아?’라고 확인하는 일종의 비밀번호다. 인증키를 모르면 현관문을 열고 집 안으로 들어갈 수 없는 것과 같다. 사이버 보안 전문 기업 티오리(Theori) 분석에 따르면 KT는 건물 전체 모든 문을 열 수 있는 만능키인 ‘최고 관리자 계정(root 계정)’에도 별도 암호를 설정하지 않았다. 루트 계정을 알면 해커가 손쉽게 인증키를 확인할 수 있고, 가짜 펨토셀을 동원해 쉽게 KT망에 접속할 수 있었다. KT가 펨토셀 보안을 기기당 개별 열쇠가 아니라 하나의 만능 열쇠로 열리는 구조로 설계해 놓았고, 그 만능 열쇠도 쉽게 얻을 수 있도록 설정해 물리적으로 수백 개의 불법 펨토셀을 만들 수 있었다는 얘기다. 보안 업계가 이번 사건을 국가 기간망에 대한 대규모 도청 사건이라고 보는 이유다.

앞서 지난 4월 필리핀에서도 중국인 1명이 불법 펨토셀처럼 가짜 기지국 역할을 하는 ‘IMSI(국제 이동통신 가입자 구별번호) 캐처’를 활용해 선관위 사무실 근처에서 도청을 시도하다 붙잡히는 일이 발생했다.

KT가 사건 이후 펨토셀에 대한 긴급 보안 업데이트를 실시했다고 하지만 안전성은 검증되지 않았다고 보안 업계는 지적한다. 보안 전문가들은 현재 KT 망에 접속된 펨토셀을 보안 회사나 외부 전문가에게 제공해 ‘루팅(최고 관리자 권한을 조작하는 행위)’이 불가능하다는 점을 공개 검증받아야 한다고 요구한다. 네이버의 이진규 CISO(최고정보보호책임자)도 최근 소셜미디어에 ‘김용대 교수님(KAIST)의 제언. 실행이 필요함’이라고 밝히면서 KT 펨토셀 안전성 검증 필요성에 동의한다는 입장을 밝혔다.

☞펨토셀(femtocell)

초소형 이동통신 기지국. 가정이나 사무실 등 실내 음영지역(전파 신호가 약한 지역)에서 통신망에 연결할 수 있게 설계된 장비. 4~16명이 동시에 접속할 수 있고 커버리지(작동 범위)는 반경 10~50m. 와이파이 공유기와 유사하게 생겼다.

[김강한 기자]

- Copyrights ⓒ 조선일보 & chosun.com, 무단 전재 및 재배포 금지 -