KT 소액결제 피해, 전문가가 분석한 펨토셀 해킹 시나리오
구형 장비·단말기 ‘폴백’ 가능성 제기, 인증 가로채 결제 도용 가능, “펨토셀 보안 점검·소액결제 인증 체계 보완 시급”
KT 가입자 소액결제 피해가 확산되고 있다. 경찰과 KT에 따르면, 현재(16일)까지 확인된 소액결제 피해는 199건으로 약 1억 2000만원대다. 또한, 국제가입자식별번호(IMSI)가 유출된 인원도 5561명에 달한다. 단순한 피싱을 넘어 ‘초소형 기지국(펨토셀)’ 해킹을 통한 인증 탈취와 결제 우회 정황이 드러나면서, 국내 통신사의 보안 취약성이 도마 위에 올랐다. 전문가들의 시선은 해킹의 핵심 원인으로 지목된 펨토셀이 어떻게 악용됐는지에 집중되고 있다.
펨토셀은 가정이나 소규모 사무실에서 이동통신 음성과 데이터 품질을 보완하기 위해 설치되는 초소형 기지국이다. 통신사가 직접 설치한 대형 기지국인 ‘매크로 기지국’이 옥외에서 수킬로미터(km)를 커버한다면, 펨토셀은 실내에서 수십 m 정도의 범위를 제공한다. 또 매크로 기지국이 전용 광망으로 통신사 코어망과 직접 연결되는 것과 달리, 펨토셀은 가정용 인터넷망을 거쳐 ‘펨토셀 게이트웨이(HeNB-GW)’를 통해 이동통신사 코어망(MME/HSS/SGW/PGW)으로 접속한다.
문제는 펨토셀이 원천적으로 보안 취약성을 안고 있다는 점이다. 문자나 통화가 종단 간 암호화되지 않으면 펨토셀 단계에서 평문으로 노출돼 도청이 가능하다는 것이 전문가들의 분석이다.
구형 펨토셀·루팅 취약점, 여전히 악용 가능성 남아
통신 보안 전문가인 김용대 카이스트 전자전기공학부 교수는 “펨토셀의 취약점은 이미 예전부터 여러 연구나 시연을 통해 알려진 바 있다”며 “문자나 통화가 종단 간 암호화(end-to-end encryption)로 보호되지 않으면 펨토셀 단계에서 평문을 확인할 수 있어 도청이 가능하다”고 설명했다.
김 교수에 따르면, 실제로 2015년 이전에는 모든 펨토셀에서 문자와 통화를 도청할 수 있는 취약점이 발견됐다. 카이스트(KAIST) 연구팀도 한국인터넷진흥원(KISA)과 이통 3사 과제를 통해 이를 검증한 바 있다. 이후 통신사들이 제어 신호 채널에 문자를 얹어 보내는 방식(SMS over NAS)과 인터넷 IP 기반 멀티미디어 플랫폼을 통해 문자를 보내는 방식(SMS over IMS) 등 암호화를 표준화하면서 문자는 단말까지 암호화되도록 개선됐다. 따라서 정상적으로 동작하는 펨토셀에서는 문자 도청이 불가능하다.
그러나 구현 취약점은 여전히 존재한다. 김용대 교수는 “KT의 경우 SMS over IMS가 특정 상황에서 완전하게 구현되지 않는 예외적 사례(conner case)가 있을 수 있다”며 “특히 2014년 이전 출시된 구형 펨토셀이나 일부 단말에서는 해당 기능이 지원되지 않아 암호화되지 않은 채 전송될 가능성이 있다”고 설명했다.
김 교수는 과거 연구 과정에서 KT 펨토셀 펌웨어에서 하드코딩된 루트(root) 계정과 비밀번호를 발견해 루트 권한 탈취가 가능하다는 사실도 확인했다. 하드코딩된 루트 계정이란, 제조사가 장비 내부 소프트웨어(펌웨어)에 최고 권한 계정과 비밀번호를 코드 그대로 넣은 것을 뜻한다. 이런 계정이 존재하면, 펌웨어를 분석한 공격자가 손쉽게 관리자 권한을 탈취할 수 있고, 기기를 완전히 장악해 문자나 통화를 가로채는 등 다양한 공격을 수행할 수 있다. 마치 아파트 현관문 비밀번호를 ‘1234’로 고정해둔 것과 같아, 해당 사실만 알면 누구든 들어올 수 있는 셈이다. 김 교수는 “당시 LGU+, SKT 펨토셀에서도 유사한 취약점이 확인됐었다”고 덧붙였다.
이후 통신사들이 시큐어 부트(Secure Boot, 펌웨어와 운영체제의 무결성을 검증해 해커가 변조된 소프트웨어를 실행하지 못하도록 막는 기술) 같은 하드웨어 보안을 강화했지만, 임베디드 기기는 물리적 접근이 가능하면 루팅 위험을 완전히 차단하기 어렵다. 김 교수는 “루팅된 장비에 문자 탈취 프로그램을 심는 것은 기술적으로 어렵지 않다”며 “루팅된 펨토셀에서는 특정 조건에서 암호화가 적용되지 않은 인증문자가 평문으로 노출될 수 있다”고 설명했다.
또한 구형 펨토셀 장비는 최신 암호화를 지원하지 못해 구형 프로토콜로 ‘폴백(fallback, 장비나 소프트웨어가 최신 기능을 지원하지 못할 경우 자동으로 이전 버전의 기능으로 되돌아가는 현상)’될 수 있고, 구형 단말기도 SMS over IMS를 지원하지 않아 평문 전송으로 되돌아갈 수 있다. 김 교수는 “피해자 중에는 안드로이드 사용자도 포함돼 있어 단순히 특정 단말 문제만은 아니며, 이번 사건에서도 특정 조건에서 암호화가 풀렸을 가능성이 있다”고 분석했다.
휴대형 펨토셀로 인증 가로채기, 공격 시나리오는?
이런 환경에서 김 교수가 설명한 공격 가능 시나리오는 이렇다. 첫째, 공격자가 KT 펨토셀을 확보해 루팅하고 라즈베리파이나 롱텀에볼루션(LTE) 에그 같은 소형 PC·인터넷 장비와 연결해 휴대형 이동식 펨토셀을 구축한다. 둘째, 펨토셀에 백도어(정상적인 인증 절차나 보안 장치를 거치지 않고 시스템에 몰래 접근할 수 있는 숨겨진 통로)를 심고 ‘아이피테이블(iptables, 리눅스 기반 시스템에서 사용하는 방화벽/패킷 필터링 도구)’ 등으로 문자 패킷(SIP MESSAGE)을 필터링·저장하도록 설정한다. 셋째, 주변 단말기가 펨토셀에 접속하면, 소액결제 과정에서 발생한 SMS 인증 문자가 펨토셀을 경유하며 암호화되지 않은 평문으로 노출된다.
끝으로, 공격자는 동시에 온라인 쇼핑몰 등에서 피해자 명의로 결제를 시도하고, 탈취한 인증번호를 먼저 입력해 인증을 선점한다. 피해자가 인증문자를 확인하기 전에 아이피테이블로 피해자에게 메시지가 전달되지 않게 막을 수도 있다.
김 교수가 설명한 공격 시나리오는 다른 학계의 연구 결과와도 맞닿아 있다. 2016년 고려대 연구팀이 정부의 지원을 받아 수행한 ‘위협 모델링 기법을 이용한 펨토셀 취약점 분석(김재기, 신정훈, 김승주)’ 연구 논문도 이러한 펨토셀 위험성을 뒷받침한다.
해당 논문에서 고려대 연구팀은 “관리자 권한 획득과 같은 취약점들이 발견되고 이를 통하여 펨토셀 사용자에 대한 개인정보 노출과 같은 심각한 문제가 발생할 수 있다”고 경고했으며, 또한 실제 분석에서는 “펨토셀 설치 시 필요한 관리자 ID와 비밀번호가 매뉴얼에 명시돼 있어, 이를 이용해 원격에서 펨토셀에 시큐어셸(SSH, 네트워크를 통해 다른 서버에 안전하게 원격 접속할 수 있도록 해주는 통신 프로토콜) 접속이 가능하다”는 점도 분석한 바 있다. 아울러 “펨토셀을 관리하는 서버와 통신할 때 아이디와 비밀번호가 별도의 암호화 없이 전달되거나 설정 파일이 평문으로 기록돼 있었다”는 점도 명시돼 있다.
고려대 연구팀은 이러한 분석을 토대로 ▲기본 비밀번호 노출 ▲펌웨어 위변조 ▲암호화 미흡 ▲통화·SMS 패킷 스니핑 가능성 등 30여 가지 위협 유형을 도출했다. 즉, 펨토셀이 네트워크·애플리케이션·시스템·하드웨어 전 계층에서 취약할 수 있다는 점을 학문적으로 입증했던 것이다.
또한, 김용대 교수는 IMSI 유출과 관련해서는 “휴대폰이 기지국에 붙을 때 IMSI가 노출되는 경우는 원래 존재하는 현상”이라며 “IMSI 자체 노출이 특별한 일은 아니지만, 펨토셀을 통해 이를 악용했을 가능성은 충분하다”고 설명했다. 그는 또 “개인정보 유출은 분명히 있었던 것으로 보인다”며 “과기정통부에서도 같은 취지로 언급한 바 있다”고 덧붙였다.
또 다른 보안업계 연구자는 “펨토셀이 해킹된 것은 확실해 보이나, 개인정보 추가 유출에는 내부자 개입이나 별도의 경로가 있었을 수 있다”며 “단순히 ‘펨토셀 해킹’이라는 표현만으로는 실제 공격 방식을 설명하는데 한계가 있다”고 말했다.
한편, 과학기술정보통신부와 KISA는 정보보호네트워크정책관을 단장으로 하는 민관합동조사단을 꾸려 KT로부터 사고 자료를 확보하고 현장 점검에 착수했다. 조사단은 통신망 취약점 분석과 원인 규명에 집중해 재발 방지 대책을 마련할 계획이다. 개인정보보호위원회도 별도로 KT의 개인정보 유출 신고를 받고 피해 규모와 원인을 조사하고 있다.
글. 바이라인네트워크
<곽중희 기자> god8889@byline.network
