KT 소액결제 피해, 또 늘어났다

 

최근 KT 소액결제 피해 사태가 또다시 확산되며 이용자들의 불안이 커지고 있다. 기존 4개였던 불법 기지국(Femtocell) ID가 20개로 늘어나면서, KT 네트워크에 연결된 2만2200여 명의 고객이 잠재적 피해 대상자로 확인됐다. 이번 조사에서 가장 충격적인 사실은 SMS 인증 결제마저 해킹에 뚫렸다는 점이다.

KT는 지난 10월 17일 광화문 사옥에서 기자회견을 열고, 소액결제 및 개인정보 유출 사태에 대한 전수조사 결과를 공개했다. 작년 8월부터 올해 9월까지 1억 5000만 건의 결제 기록을 전수 분석한 결과, 자동응답(ARS)뿐 아니라 문자메시지(SMS) 인증을 통한 무단 소액결제 사례가 추가로 드러났다.

---

📌 피해 현황 — “불법 기지국 ID 20개, 피해자 368명”

KT가 이번에 발표한 수치에 따르면, 불법 기지국 접속 이력이 확인된 고객은 2만2200여 명으로 집계됐다. 이는 기존보다 2200명 늘어난 수치다. 피해자는 368명, 피해액은 319만 원으로 확인됐다.

KT는 기존 조사에서는 ARS 인증 방식만 점검했으나, SMS 인증과 PASS 인증 결제 방식까지 범위를 확대해 보다 정밀한 조사를 진행했다고 밝혔다. 그 결과, SMS 인증을 이용한 해킹 결제가 새롭게 발견된 것이다.

한편, DCB(Direct Carrier Billing, 통신요금 합산결제)나 PASS 인증에서는 이상 거래가 발견되지 않았다. 이는 해커들이 상대적으로 보안이 취약한 SMS 인증 시스템을 집중적으로 노렸음을 시사한다.

---

🔍 어떻게 이런 일이 가능했을까? — 펨토셀 해킹의 원리

이번 해킹의 핵심은 바로 ‘펨토셀(Femtocell)’이라 불리는 초소형 기지국이다. 펨토셀은 통신 음영 지역에서 신호를 증폭해주는 장비로, 기업이나 개인이 소형 장비 형태로 설치할 수 있다.

문제는, 이 펨토셀이 불법으로 개조되어 통신 데이터를 가로채는 ‘위장 기지국’으로 악용됐다는 점이다. 해커들은 불법 펨토셀을 통해 이용자의 단말기를 일시적으로 자신들의 기지국에 접속시킨 뒤, 통신 인증 절차 중 발생하는 SMS 인증 코드를 탈취하거나 결제 승인 신호를 위조한 것으로 추정된다.

이로 인해 피해자들은 자신도 모르는 사이에 콘텐츠 결제가 승인되는 피해를 입었다.

---

⚠️ 왜 SMS 인증이 뚫렸을까?

SMS 인증은 단순 문자 메시지를 기반으로 하기 때문에 암호화 수준이 낮고 중간 탈취가 용이하다.
또한, 일부 소액결제 시스템은 여전히 이중 인증(2FA)을 완전하게 적용하지 않고 있어 공격자가 SMS만 탈취해도 결제가 가능하다.

이에 비해 PASS 인증이나 DCB 결제는 고도화된 암호화 인증 시스템과 실시간 서버 검증 절차를 거치기 때문에 상대적으로 안전한 편이다.
즉, SMS 인증이 뚫렸다는 것은 시스템 전체가 취약하다는 의미보다는, 일부 구형 인증 구조가 여전히 남아 있다는 경고다.

---

💬 KT의 입장과 후속 조치

KT는 이번 조사 결과를 발표하며 “대규모 전수조사에 시간이 걸린 점을 송구하게 생각한다”며 공식 사과했다.
또한, “정부와 경찰의 수사에 성실히 협조하고, 재발 방지를 위한 기술적·제도적 보완책을 마련하겠다”고 밝혔다.

KT는 향후

• 불법 펨토셀 탐지 시스템 고도화
• 실시간 결제 이상 탐지 AI 적용
• 고객 통신 패턴 이상 감지 기능 강화
  등의 대책을 추진 중이다.

이와 함께, 피해 고객에게는 전액 환불 및 신용정보 보호 조치를 제공하며 보상 프로세스를 강화할 계획이다.

 

---

📱 사용자 스스로 지킬 수 있는 보안 수칙

KT뿐 아니라 모든 통신 이용자가 주의해야 할 핵심 보안 수칙은 다음과 같다.

1️⃣ SMS 인증 대신 앱 기반 인증(PASS 등)을 적극 사용하기
2️⃣ 통신요금 합산결제 차단 설정을 활성화하기
3️⃣ 알 수 없는 기지국 접속 알림이 있을 경우 즉시 통신사에 신고하기
4️⃣ 소액결제 내역을 주기적으로 확인하고 이상 거래 즉시 차단 요청하기

특히 스마트폰에서 ‘소액결제 허용’이 기본값으로 설정되어 있는 경우가 많으므로, 설정 → 결제/구매 항목 → 소액결제 차단으로 변경해 두는 것이 안전하다.

---

🔒 보안은 ‘기업의 책임’이자 ‘사용자의 습관’

KT 소액결제 피해는 단순한 기술적 문제를 넘어 디지털 결제 보안의 구조적 한계를 드러낸 사건이다.
통신사와 결제 대행사 모두 보안 강화를 위한 기술적 조치가 필요하며, 동시에 이용자들도 SMS 인증의 한계를 인식해야 한다.

“보안은 기술로 시작하지만, 습관으로 완성된다.”
KT의 재발 방지 대책이 얼마나 실질적일지는 아직 미지수지만, 이번 사건을 계기로 통신사 전체의 보안 체계가 한층 강화되기를 기대한다.