경제타임스 김은국 기자 |   KT 이동통신 가입자들을 대상으로 한 무단 소액결제 피해 규모가 최종 368명, 피해액 2억5000만원으로 확인됐다. KT는 "서울·인천·광명·부천 등 수도권 서부 지역을 중심으로 불법 소형 기지국(펨토셀)이 악용된 정황을 추가로 포착했다"고 10월17일 밝혔다.

KT에 따르면 불법 펨토셀 ID는 기존 4개에서 16개가 추가로 발견돼 총 20개로 집계됐다. 이 펨토셀 ID 접속 이력이 있는 가입자는 2만2200여 명으로, 이 중 실제 결제 피해자는 368명으로 확정됐다. 이는 지난달 18일 KT가 잠정 발표했던 362명보다 6명이 늘어난 수치다. 추가 피해액 319만원을 포함하면 전체 피해액은 2억5000만원에 달한다.

■ “PASS·DCB 결제 이상”…1억5000만건 전수조사

KT는 이번 사건과 관련해 지난해 8월 1일부터 올해 9월 10일까지 약 1년간의 통신 과금 대행 결제 내역 1억5000만건을 전수 조사했다. 이 중 소액결제 8400만건, 통신사 직접 청구(DCB) 결제 6300만건이 포함됐다. KT는 전체 휴대전화와 기지국 간 4조300억건에 달하는 접속 기록을 전수 조사해, 불법 펨토셀을 탐지하고 해당 ID 접속 이력과 전체 결제 내역을 교차 검증했다.

특히 통신사 인증 앱 ‘PASS’ 및 DCB 결제 서비스에서는 이상 결제가 발생하지 않았음을 명확히 했다. 또한 지난달 5일 비정상 결제 차단 시스템을 강화한 이후로는 새로운 피해 사례가 발생하지 않았다고 설명했다.

■ “추가 피해자 보호·정부 조사 협조 지속”

KT는 조사 결과를 개인정보보호위원회 등 관계기관에 보완 신고하고, 추가 피해자 보호 조치를 즉각 시행했다고 밝혔다. 현재 과학기술정보통신부와 경찰청이 병행 수사를 진행 중이며, KT는 모든 자료를 제공하며 협조하고 있다.

KT 관계자는 “이번 사건을 계기로 기술적·제도적 보완책을 마련하고, 고객 신뢰 회복에 최선을 다할 것”이라며 “사고 재발 방지와 피해자 보호 조치에 끝까지 책임을 다하겠다”고 강조했다.

■ 전문가 “보안망 사각지대 드러나…5G 시대 기지국 보안 강화 시급”

통신보안 전문가들은 이번 사건이 “펨토셀 등 소형 기지국 보안 관리의 구조적 허점을 드러낸 사례”라고 분석했다. 한국정보보호학회 한 관계자는 “이동통신사별 기지국 인증체계와 DCB 결제 연동 구조를 전면 점검해야 한다”며 “특히 5G 소형 셀 기반의 사물인터넷(IoT) 확산 시대에는 이런 보안 리스크가 반복될 가능성이 있다”고 경고했다.

■ 용어 설명
· 불법 소형 기지국(펨토셀, Femtocell) = 이동통신 신호를 증폭시키기 위해 설치되는 초소형 기지국 장비가 통신사 승인 없이 불법 개조되거나 외부에서 무단 운용되는 장비. 정상적인 펨토셀은 가정이나 소규모 사무실 등에서 이동통신 음영지역을 해소하기 위해 통신사가 직접 설치·관리하며, 본사 네트워크를 통해 인증 절차를 거쳐야만 작동된다. 그러나 불법 펨토셀은 이러한 인증 절차를 우회하거나 위조된 장비로 네트워크에 접속해, 이용자의 휴대전화 신호를 가로채거나 결제정보·인증정보를 탈취하는 등의 범죄에 악용될 수 있다. 즉, 불법 펨토셀은 소형 기지국 형태를 가장해 통신망에 비인가 접근을 시도하는 일종의 ‘모의 기지국’(fake base station) 으로, 정상 신호처럼 위장해 사용자 단말기를 유도하는 방식으로 작동한다. 이 때문에 통신사 인증체계와 보안망의 사각지대를 노린 해킹 수법으로 분류된다.