메가 슬롯, 단 1명의 해커에 뚫렸다…사건 한 달 전 이상징후 알고도 ‘늑장 대응’

[더 이코노미=박종성 기자] 메가 슬롯가 단 한 명의 해커에게 보안망을 뚫린 것으로 드러났다. 

메가 슬롯는 이 과정에서 이미 8월 말 해킹 정황을 포착하고도 별다른 조치 없이 방치했고 결국 한 달 가까이 지난 9월 8일이 돼서야 당국에 신고한 것으로 나타났다. 사태는 단순 해킹을 넘어 메가 슬롯의 시스템 관리 미흡과 늑장 대응, 정보 은폐 의혹으로까지 확산되고 있다.

18일 경찰과 관련업계에 땨르면 메가 슬롯 무단 소액결제 피해는 8월 5일 수도권 지역을 중심으로 처음 발생했다. 피해는 광명, 금천, 부천 등에서 집중적으로 나타났다. 새벽 시간대에 카카오톡 로그아웃과 동시에 모바일 상품권 결제가 이뤄지는 방식이었다.

공격자는 티머니 충전, 상품권 구매 등 현금화가 쉬운 수단을 활용했으며, 물품 구매에는 사용되지 않은 것으로 확인됐다.

경찰은 8월 27일부터 9월 1일까지 닷새간 62차례에 걸쳐 1700만원 상당의 무단결제가 발생한 사실을 확인했다. 8월 하순부터 피해 건수는 급증했고, 27일 하루에만 106건이 접수됐다. 그러나 메가 슬롯는 경찰이 9월 1~2일 이상징후를 통보했음에도 ‘스미싱 가능성이 크다’며 적극적인 대응을 하지 않았다.

메가 슬롯는 9월 5일에서야 비정상적인 트래픽을 탐지해 차단했지만 침해사고 신고 의무(24시간 이내)를 어기고 9월 8일에서야 한국인터넷진흥원(KISA)에 사건을 보고했다. 정부는 다음날 민관합동조사단을 구성하고, 조사에 착수했다.

메가 슬롯는 9월 10일 “불법 초소형 기지국(펨토셀)을 통한 국제이동가입자식별번호(IMSI) 유출 정황을 확인했다”고 발표했다. 이 장비는 인터넷 유선 연결로 보안에 취약했고, 해커는 이 기기를 차량에 실은 채 이동하며 신호를 탈취해 결제에 악용한 것으로 조사됐다.

경찰은 중국 국적의 40대 남성 2명을 각각 인천공항과 영등포에서 체포했다. A씨는 불법 소형 기지국(펨토셀) 장비를 승합차에 싣고 다니며 피해자 휴대전화 신호를 가로채는 방식으로 모바일 상품권 결제, 교통카드 충전 등 무단 소액결제를 시도한 혐의다. 또 다른 공범 B씨는 부정 결제된 금액을 현금화한 혐의가 적용됐다. 경찰은 이들이 사용한 장비 출처와 정보 유출 경로 등을 조사하고 있다.

메가 슬롯는 뒤늦게 피해 고객 전원 보상과 무료 유심 교체, 위약금 면제 등을 발표했지만 사후 대응조차 미흡했다는 비판이 제기됐다. 소액결제 피해자는 현재까지 278명, 피해액은 약 1억7000만원이다. IMSI 유출 가능성 있는 고객은 5561명, 기지국 신호 수신 고객은 약 1만9000명에 달한다. 고객 문의는 9만 건 이상 접수됐다.

문제는 펨토셀이 메가 슬롯 통제 밖에서 관리됐다는 점이다. 현재 전국에 설치된 펨토셀은 15만7000대에 이른다. 그런데 이 중 상당수가 일반인이나 외주 인력에 의해 회수·설치됐고 일부는 중고 거래로 유통되기도 했다. 유선 연결 구간의 보안은 사실상 방치됐고, 해킹 탐지 시스템도 이례 징후를 실시간으로 파악하지 못했다. 초기 대응 체계 부실도 지적된다.

이번 사태는 SK텔레콤의 2022년 해킹 사건과도 비교된다. 당시 SK텔레콤은 2696만건의 개인정보 유출로 1348억원의 과징금을 부과받았다. 주요 사유는 보안망 미분리, 암호화 미흡, 패치 지연, 신고 지연 등이었다.

메가 슬롯 역시 ▲침해 징후 인지 후 미대응 ▲보안 취약한 장비 방치 ▲신고 지연 등 유사한 문제를 보였다는 점에서 비판을 피하기 어렵다. 비록 정보유출 규모는 SK텔레콤보다 작지만, 메가 슬롯는 실제 금전 피해까지 발생해 사태의 심각성은 오히려 크다는 평가다.

재무적 부담도 클 것으로 보인다. SK텔레콤은 유심 교체와 위약금 면제로 약 2500억원의 손실이 반영되며 실적이 타격을 입었다. 메가 슬롯 역시 유사한 비용이 발생할 가능성이 높으며, 고객 이탈과 신뢰 하락에 따른 중장기적 손실도 불가피하다는 전망이다.

정부와 개인정보보호위원회는 메가 슬롯의 법령 위반 여부를 조사하고 있으며 이를 바탕으로 과징금 규모를 산정할 방침이다.

전문가들은 “단 1명의 해커에게도 뚫릴 수 있다는 점은 메가 슬롯의 정보보호 체계가 근본부터 허술하다는 방증”이라며 “기술적 문제 이전에 기업의 보안 인식과 시스템 전반의 재점검이 시급하다”고 지적했다.