KT, 악성코드 감염 은폐 정황…"심각성 인지 못해"

경영진 보고·침해사고 신고 누락…최민희 "수사 의뢰해야"

[프라임경제] KT(030200)가 지난해 개인정보가 포함된 서버가 악성코드 'BPF도어'(BPFDoor)에 감염된 사실을 알고도 당국과 대표이사에 보고하지 않은 채 내부적으로 은폐한 사실이 드러났다.

KT 광화문 사옥 전경. ⓒ 연합뉴스

21일 최민희 국회 과학기술정보방송통신위원장 의원실이 KT로부터 제출받은 당시 감염 인지 시점과 내부 의사결정 과정 관련 자료에 따르면 정보보안단 레드팀 소속 A 차장은 지난해 4월11일 "기업 모바일서버에서 3월19일부터 악성코드가 실행 중이다"는 사실을 담당 팀장에게 보고하고 보안위협대응팀 소속 B 차장에게도 공유했다.

같은 날 B 차장은 당시 정보보안단장이었던 문상룡 최고보안책임자(CISO)와 황태선 담당(현 CISO) 등에게 "현재 사업 부서별 긴급 취약점 조치·개별 적용 중"이라고 보고했다.

정보보안단은 4월18일 서버 제조사에 백신 수동 검사와 분석을 긴급 요청했으나, 회사 경영진에는 공식 보고를 하지 않았다.

KT는 "4월18일 문 단장과 모현철 담당이 당시 정보보안단 소속 부문장(오승필 부사장)과 티타임 중 구두로 '변종 악성코드가 발견됐다'는 상황을 간략히 공유했다"며 "다만 오 부사장은 일상적인 보안 상황 공유로 인식했을 뿐 심각성을 인지하지 못했다"고 전했다.

침해사고를 신고 누락에 대해서는 "기존에 겪어보지 못한 유형의 악성코드에 대한 초기 분석 및 확산 차단에 집중하는 과정에서 신고 의무에 대해 깊이 생각하지 못했다"고 해명했다.

이후 조치도 정보보안단 내부 결정에 그친 것으로 드러났다.

KT는 5월13일부터 스크립트 기반 악성코드 점검을 시작해 6월11일부터는 전사 서버로 범위를 확대하고 7월31일까지 점검을 진행했다. 

이와 관련 KT는 "5월2일 황 단장과 모 담당이 오 부사장에게 티타임 중 '변종 악성코드가 다수 발견돼 스크립트 기반의 점검이 필요하다'고 구두로 공유했다"며 "오 부사장은 일상적인 보안점검의 일환으로 인식했을 뿐 심각성을 인지하지 못했다"고 했다.

KT는 이때까지도 침해사고 신고 여부를 논의하는 공식 회의는 단 한 차례도 열지 않았다. 

최민희 과방위원장은 "KT의 이번 BPF도어 감염 사고 은폐 사건은 우리나라를 대표하는 기간통신사업자의 정보보안 관리 시스템이 무너져있음을 단적으로 증명한 사례"라며 "'겪어보지 못한 변종 악성코드'에 대해 '심각성을 인지하지 못했다'며 차 한 잔 나누는 담소 거리로 삼은 것은 충격적 행태"라고 꼬집었다.

아울러 "과기정통부는 KT에 대해 위약금 면제, 영업정지, 수사 의뢰 등 모든 수단을 동원해서라도 책임을 묻고 바로 잡아야 하고 KT는 스스로 전면적인 쇄신에 나서라"고 촉구했다.