KT·LGU+ 해킹 사건, 추가 고의 은폐 의혹

KISA “침해정황 확인, 신고하라” 공문에도 오리발

통신사들 데이터 유출 8월 8일, 10일경 인지했는데, KISA에 공식보고·침해신고도 안해

KISA는 KT·LGU+에 “침해정황 확인되었으니, 신고하라” 지난달 22일 공문 ... 아직도 신고 없어

황정아 “KT·LGU+의 안일한 인식이 초래한 보안참사, KISA 공문에 신고회피? 고의적 법 무시”

지난달 미국 보안 전문지 ‘프랙’에서 제기한 KT·LGU+ 사이버 공격과 데이터 유출정황과 관련해 통신2사가 이보다 앞선 7월 19일 KISA의 경고를 받고도 침해사실을 인지하지 못했고, 데이터 유출을 확인했음에도 이를 은폐한 정황까지 드러났다.

이번 의혹은 지난달 8일 미국의 보안전문지 ‘프랙’이 KT·LGU+ 등 국내 기업에서 유출된 것으로 의심되는 정보가 발견됐다는 보고서를 내놓으며 비롯됐다.

더불어민주당 황정아 의원실에서 확보한 자료에 따르면, ‘프랙’ 의혹보다 약 2주가 앞선 7월 19일 KISA는 관련 제보를 받고, KT와 LGU+에 ‘침해 정황을 확인했으니 침해사고 발생 여부를 확인하라’는 취지의 공문을 발송했다.

당시 KT는 7월 21일에 자체조사 결과 ‘침해 정황이 없다’는 내용으로 회신했고, LGU+는 KISA가 8월 11일 침해사고 원인분석을 위한 자료제출 요청 공문을 다시 보내자 8월 13일 ‘침해 정황이 없다’ 등의 취지로 회신한 것으로 확인됐다.

하지만 KT는 황정아 의원실에 8월 8일, LGU+는 8월 10일 유출된 데이터가 자사의 데이터라는 사실을 인지했다고 밝혔다. KISA의 경고에도 불구하고 약 20여일간 데이터 유출 사실을 파악하지 못했을 뿐 아니라, 이후에도 데이터 유출 사실을 은폐한 것이다.

게다가 KISA는 이미 해당 데이터 유출을 침해사고로 신고하라고 통신사들에게 고지한 것으로 드러났다.

8월 22일 KISA는 KT와 LGU+에 유출 데이터들을 확인하며, “침해사고 발생 정황이 확인되어, 침해사고 신고를 안내드리오니, 내용을 확인 후 침해사고 신고를 진행하여 주시기 바랍니다”는 메일을 보냈다.

이에 더해 KISA는 “침해사고 발생 정황을 인지하면 반드시 신고하여야 한다”고 강조하기까지 하였다.

그러나 KT와 LGU+는 여전히 ‘침해사고 정황이 없다’, ‘침해사고 흔적을 발견하지 못했다’는 입장만 반복하며 공식적인 침해사고 신고를 하지 않고 있다.

특히 KT와 LGU+가 침해신고를 하지 않고 있어, 과기부와 KISA가 외부 전문가를 포함한 민관합동조사단을 구성하지 못하고 있는 것으로 확인됐다.

황정아 의원은 “통신사들이 KISA의 경고에도 약 2주간 데이터가 유출된 사실조차 몰랐다는 것은 보안참사”라며 “KISA가 보낸 침해 사고 정황이 확인되었으니 신고하라는 공문마저 묵살한 것은 다분히 고의적으로 법을 무시하고 있는 것으로 보인다”고 비판했다.

한편, 지난 4월 발생한 SKT 해킹사고의 여파로 KT는 통신3사 가운데 처음으로 분기 영업이익 1조원을 돌파했고, LGU+역시 역대 최대 분기 실적을 경신했다. /끝/

[참고] KISA가 8월 22일 KT와 LGU+에 ‘데이터 유출이 확인되었으니, 침해신고 하라’ 발송한 공문