KT 펨토셀 해킹 사건 완벽 정리│불법 기지국 2만여 명 피해

KT 펨토셀 해킹 사건 완벽 정리

불법 기지국 2만여 명 피해│"책임감 무겁다" 박윤영 대표 첫 사과

📅 2025년 9월~2026년 4월 📍 KT 통신망 ✍️ 기자 안지혜

⚠️ 사건 개요

🚨 KT 대규모 해킹 사건: 2025년 9월, KT의 통신망이 불법 펨토셀(초소형 기지국) 20개를 통해 해킹당하면서 약 2만여 명의 고객이 피해를 입었습니다. 이는 무단 소액결제, 개인정보 유출 등 다층적 피해로 이어졌습니다.

KT는 역대 가장 심각한 통신 보안 사고를 겪었습니다. 특히 불법 펨토셀이 정보보호 인증 범위에서 누락되어 보안 사각지대에 방치되었다는 점에서 KT의 관리 부실이 지적되었습니다.

🔍 펨토셀(Femtocell)이란?

📡 펨토셀 정의:

✓ 의미: 초소형 기지국(femto = 10억분의 1)
✓ 목적: 실내 통신 신호 증폭용 소형 기지국
✓ 정상 용도: 빌딩, 지하, 터널 등 신호 약한 지역 커버리지 개선
✓ 문제점: 통신망에 직접 접속하는 게이트웨이 역할
✓ 보안 위험: 인증·암호화 미흡 시 통신망 전체가 노출

정상적 펨토셀은 통신사 승인 후 암호화된 채널로 운영됨

펨토셀은 고객이 실내에서 신호를 잘 받기 위해 통신사에서 제공하는 장비입니다. 그러나 이 장비가 불법으로 설치되거나 부실하게 관리될 경우, 전체 통신망에 대한 접근 권한을 제공할 수 있습니다.

📊 피해 규모

항목	수치	설명
피해자 수	약 2만여 명	KT 및 KT M모바일 가입자
무단 소액결제 건수	278~368건	발표 기관에 따라 상이
무단 소액결제 피해액	1억 2천만~1억 7천만 원	최초 피해액 기준
IMSI 유출 (추정)	수만 명	휴대폰 가입자 식별번호 유출
불법 펨토셀	20개	해킹 수단으로 사용된 기지국
영향 지역	서울, 경기 광역	금천구, 동작구, 광명시 등

🔐 해킹 원인 및 메커니즘

1. 불법 펨토셀의 KT 망 접속

해커들은 KT가 정상 펨토셀로 등록하지 않은 불법 펨토셀을 설치하여 KT 통신망에 접속했습니다. 이들 불법 장비는:

정상 인증 절차를 거치지 않음
암호화 통신 미적용
KT의 모니터링 대상 밖에 위치

2. 개인 가입자 식별번호(IMSI) 탈취

불법 펨토셀을 통해 근처 휴대폰의 IMSI(International Mobile Subscriber Identity)가 탈취되었습니다. 이는 다음과 같은 권한을 제공합니다:

가입자 인증 정보 탈취
소액결제 승인 가능
위치 정보 추적
통신 내용 도청 (이론적 가능성)

3. SMS 인증 우회 및 무단 소액결제

KT는 소액결제 인증 수단으로 SMS(문자메시지) 기반 OTP를 주로 사용했습니다. 이는:

IMSI 탈취로 가입자 위장 가능
SMS를 통해 결제 인증 가능
실제 기기에 메시지 표시 안 됨
사용자가 무단 결제를 감지 어려움

4. 악성코드 감염

추가로, KT의 서버가 악성코드(BPFDoor 등)에 감염되었던 것으로 확인되었습니다. KT는 이를 감춰왔습니다.

⏱️ 사건 경과 타임라인

2025년 9월 초중순
무단 소액결제 피해 발생 및 신고

2025년 9월 12일~15일
언론 보도 및 피해 규모 파악 시작

2025년 9월 23일
정부 합동조사단 출범, 조사 시작

2025년 11월 6일
정부 중간 조사 결과 발표
불법 펨토셀 20개, 2만여 명 피해 확인

2025년 11월
KT 악성코드 감염 및 은폐 사실 드러남

2025년 12월 31일
보안 업체, 펨토셀 침투 테스트 결과 발표
(추가 취약점 발견)

2026년 3월 (추정)
박윤영 신임 KT 대표 취임

2026년 4월 9일
박 대표 첫 공식석상, 펨토셀 해킹 사과
"책임감을 무겁게 느낀다"

🎯 KT의 부실 관리 정황

1. 펨토셀 보안 인증 누락

⚠️ 핵심 문제: 불법 펨토셀이 정보보호 인증(ISMS) 범위에서 누락되어 있었습니다. 이는 KT가 펨토셀 보안을 시스템적으로 검증하지 않았다는 의미입니다.

2. 악성코드 은폐

KT는 서버 악성코드 감염 사실을 안 후에도 정부에 신고하지 않았습니다. 또한 해킹 서버를 폐기할 때 시점을 허위로 보고했습니다.

3. SMS 기반 인증 취약성

KT는 소액결제 인증으로 SMS OTP라는 취약한 방식을 사용했습니다. IMSI 탈취 후 SMS 인증을 우회할 수 있는 구조였습니다.

4. 침해사고 신고 지연

KT는 무단 소액결제 사실을 적절히 빨리 정부에 신고하지 않았으며, 초기 피해 규모도 과소 보고했습니다.

🔔 박윤영 신임 대표의 대응

"지난해 펨토셀 해킹으로 국민과 정부에 큰 불편과 걱정을 끼쳐서 정말 송구하다. 그 책임감을 무겁게 느끼고 있다. 이를 계기로 안전한 네트워크를 만들기 위해 최선을 다하겠다."
— 박윤영 KT 대표 (2026년 4월 9일)

대응 방안

보안 강화: 취임 후 첫 현장으로 네트워크 보안 운영 센터 방문
직원 의견 수렴: 현장 직원들과의 면담을 통해 보안 개선안 도출
AX 플랫폼 컴퍼니: AI 데이터센터 인프라 및 운영체계 재구축 계획
기술적 기반 구축: 차세대 보안 기술 도입

⚖️ 정부 조사 결과 및 처분

정부 합동조사단은 2025년 11월 6일 중간 조사 결과를 발표했습니다:

부실 펨토셀 관리: 불법 펨토셀 식별 및 차단 미흡
악성코드 미신고: 감염 사실을 정부에 신고하지 않음
침해사고 신고 지연: 초기 신고 체계 미흡
서버 폐기 시점 허위 보고: 정부 조사 방해
권고사항: 중대재해처벌법 등 적용 검토

💡 교훈 및 개선안

통신사 차원의 개선

SMS 기반 인증에서 공인인증서, 생체인증 등으로 전환
펨토셀에 대한 정보보호 인증 의무화
주기적 보안 감시 및 침투 테스트 시행
악성코드 감염 시 즉시 신고 의무화

정부 차원의 개선

통신망 보안 기준 강화
통신사 감시 체계 강화
개인정보 유출 시 피해자 보상 기준 마련
사이버 보안 인력 양성 강화

🏷️ 주요 키워드

📝 결론

KT 펨토셀 해킹 사건은 한국 통신 역사상 가장 심각한 보안 사고로 기록될 수 있습니다. 불법 펨토셀을 통한 IMSI 탈취, 무단 소액결제, 개인정보 유출, 그리고 이후의 은폐 시도까지 모든 것이 문제가 있었습니다.

특히 KT가 악성코드 감염 사실을 은폐했다는 점은 기업의 신뢰성에 심각한 타격을 주었습니다. 신임 박윤영 대표의 사과는 이러한 신뢰 회복의 첫걸음이지만, 실질적인 보안 체계 개선이 선행되어야 합니다.

이 사건은 통신사뿐 아니라 정부, 고객 모두에게 중요한 교훈을 제공합니다. 디지털 시대에 통신망 보안은 국가 안보 수준의 중요성을 갖습니다.

KT 펨토셀 해킹 사건 총정리…불법 기지국 2만여 명 피해 2025년 9월 "보안 사각지대" KT 펨토셀 해킹 원인·피해·대응│무단 소액결제 1억 이상