"전현직 KT CISO·오승필 KT CTO, 악성코드 감염사실 은폐"

최민희 과방위원장, KT 제출자료 확인 결과 정보보안단 내부에서 은폐·축소 확인'겪어보지 못한 변종 악성코드'로 진단…대표이사 정식 보고 안해최민희 "위약금 감면 필요…KT 전면 쇄신해야"

[뉴스토마토 이지은 기자] KT(030200) 정보보호최고책임자(CISO)와 최고기술책임자(CTO)가 지난해 악성코드인 BPF도어(BPFDoor) 감염 사실을 확인하고도 심각하지 않다고 판단, 내부적으로 은폐한 사실이 확인됐습니다. 기간통신사업자인 KT의 정보보안 관리 시스템 문제 원인으로 인재가 지목되면서, KT가 전면 쇄신해야 한다는 주장이 제기됐습니다. 위약금 감면 목소리도 커질 전망입니다. 

 

21일 최민희 과학기술정보방송통신위원회 위원장실이 KT로부터 제출받은 자료에 따르면 지난해 4월11일 KT 정보보안단 레드팀 소속 A차장은 기업 모바일서버에서 3월19일부터 악성코드가 실행 중에 있다는 사실을 담당팀장인 B에게 메일로 보고하고, 보안위협대응팀 소속 C차장에게도 공유한 것으로 드러났습니다. 

 

같은 날 C차장은 정보보안단장인 문상룡 CISO와 당시 담당이었던 황태선 담당 (현 KT CISO) 등에게 "현재 사업부서별 긴급 취약점 조치·개별 적용 중"이라며 관련 내용을 보고했습니다. 이후 KT 정보보안단은 4월18일 서버 제조사에 백신 수동검사와 분석 시행을 긴급하게 반영할 것을 요청했습니다. 

 

하지만 정보보안단 내부에서 악성코드에 대한 대응이 긴급하게 이뤄진 것에 비해 회사 경영진에 관련 보고는 이뤄지지 않았습니다. 

 

KT 광화문 사옥. (사진=뉴스토마토)

 

KT는 최민희 위원장실에 "4월18일 문상룡 단장과 모현철 담당이 당시 정보보안단 소속 부문장인 오승필 CTO(부사장)와 티타임 중 구두로 변종 악성코드가 발견됐다는 상황을 간략히 공유했다"고만 밝혔습니다. 오승필 부사장은 일상적인 보안 상황 공유로 인식, 대표이사에게 보고를 누락했습니다. 

 

침해사고 신고를 하지 않은 이유에 대해서도 "기존에 겪어보지 못한 유형의 악성코드에 대한 초기 분석·확산 차단에 집중하는 과정에서 신고 의무에 대해 깊이 생각하지 못했다"는 답변을 내놓은 것으로 전해집니다. 

 

최민희 위원장실은 "정보보안단 내부에서는 기존에 겪어보지 못한 유형의 악성코드에 대해 긴급하게 대응했음에도 정작 대표이사에게 보고하지 않고 침해사고 신고도 하지 않았다는 것은 이를 은폐하고 쉬쉬하려고 했던 것으로밖에 볼 수 없다"고 지적했습니다. 

 

이후 조치 역시 정보보안단 내부 결정으로만 이뤄진 것으로 드러났습니다. KT는 5월13일부터 스크립트 기반의 점검, 악성코드 점검 툴을 최초 시행 후 6월11일 전사 서버로 확대 시행해 7월31일까지 진행한 것으로 확인됐습니다. 스크립트 기반 점검은 악성코드 탐지용 스크립트를 서버에 일괄 실행해 수십~수백대 시스템을 자동으로 동시에 점검할 수 있는 방식으로 감염 여부·이상 행위를 체계적으로 식별할 수 있습니다. 

 

KT는 이 과정은 현 황태선 CISO 지휘로 이뤄졌다고 위원장실에 전달했습니다. 이 과정에서도 오승필 부사장에 구두로 변종 악성코드가 다수 발견됐다는 내용을 공유했지만, 오 부사장은 당시 일상적인 보안점검 일환으로 인식한 것으로 전해집니다. KT는 이 과정에서 침해사고 신고 여부 등을 판단할 회의는 단 한 차례도 열지 않은 것으로 조사됐습니다. 

 

최민희 위원장실은 "겪어보지 못한 변종 악성코드로 인해 개인정보가 저장된 서버를 포함한 총 43대의 서버가 감염됐음에도 관련 내용을 대표이사에게 보고하지도 한국인터넷진흥원(KISA)에 신고하지도 않고 정보보안단 내부에서 은폐한 것"이라고 재차 지적했습니다. 

 

KT BPF도어 악성코드 감염사실 은폐 경위. (자료=최민희 위원장실)

 

이번 KT의 정보유출 사태가 인재에서 비롯된 것으로 확인되면서 KT 쇄신의 목소리가 커지고 있습니다. 

 

최민희 과방위원장은 "KT의 이번 BPF도어 감염 은폐 사건은 우리나라를 대표하는 기간통신사업자의 정보보안 관리 시스템이 무너져 있음을 단적으로 증명한 사례"라며 "제대로 바로잡지 못하면 5G를 선도해온 통신강국의 위상조차 흔들리게 되고, 인공지능(AI) 강국으로의 도약도 위험하게 될 것"이라고 우려했습니다. 

 

아울러 최 위원장은 "과학기술정보통신부는 KT에 대해 위약금 면제, 영업정지, 수사 의뢰 등 모든 수단을 동원해서라도 책임을 묻고 바로잡아야 할 것"이라며 "KT는 스스로 전면적인 쇄신을 해야 한다"라고 덧붙였습니다.  

 

이지은 기자 [e-mail]

 

이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.