KT、ハッキング隠蔽疑惑…政府が厳重措置を予告

KTが自社サーバーのハッキング事実を認識していながら、政府に即時申告していなかったという疑惑が浮上し、政府が厳重な措置を予告しており、波紋が予想される。これはKTが情報通信網利用促進及び情報保護等に関する法律（以下、情報通信網法）に違反した可能性を示唆しており、政府は徹底的な調査とともに法的責任を問うという強硬な姿勢だ。KTは昨年、自社サーバーがマルウェアに感染した事実を認識していながら、関連事実を政府に遅れて報告した疑いを受けている。今回の事態は単なるハッキング事故を超え、KTのセキュリティ管理システムの欠陥と、事故発生時の適切な対応が行われなかった点を如実に露呈している。官民合同調査団によると、KTは昨年3月から7月の間に「BPFドア」と「ウェブシェル」などのマルウェアに感染したサーバー43台を発見したことが明らかになった。BPFドアはシステムのネットワークトラフィックを監視し制御できるようにするマルウェアであり、ウェブシェルはウェブサーバーにアップロードされ、サーバーを遠隔で制御できるようにする悪質なスクリプトだ。これらのマルウェアはハッカーがシステムに侵入して情報を盗み出したり、システムを破壊するのに使用される可能性がある。特に問題の深刻さは、KTがこれらのマルウェア感染事実を認識していながら、即座に政府に申告しなかった点にある。情報通信網法第48条の6によると、情報通信サービス提供者はハッキング等の侵害事故発生時、直ちに関連事実を科学技術情報通信部長官に申告する義務がある。KTの対応の遅れは明白な法規違反であり、法的処罰はもちろん、企業イメージにも深刻な打撃を与えるものと見られる。

マルウェアに感染したサーバーには、KT加入者の敏感な個人情報が保存されていたことが確認され、事態はさらに深刻化している。流出した個人情報には、氏名、電話番号、メールアドレス、そして端末識別番号（IMEI）などが含まれていることが分かっている。個人情報流出は単なる情報露出を超え、スミッシング、ボイスフィッシング等の二次被害につながる可能性があるという点で、深刻な懸念を生んでいる。KTに納品されるすべてのフェムトセルが同一の認証書を使用していたという点も、今回の事態の深刻さを増している。フェムトセルは、屋内で移動通信信号を増幅させる小型基地局で、同一の認証書使用はセキュリティ脆弱性を引き起こす可能性がある。これは、まるで全ての建物のドアを一つの鍵で開けられるようにしたようなもので、ハッカーが1つのフェムトセルをハッキングすると、KT全体の通信網に侵入できる危険を招く。このため、不法フェムトセルもKT通信網に接続することができ、当該認証書の有効期間はなんと10年と設定されていたという事実は衝撃を増す。

ハッカーらは不法フェムトセルを利用し、端末と通信網間のエンドツーエンド暗号化を解除したことが明らかになった。エンドツーエンド暗号化は、通信過程でデータを暗号化し、外部の不法なアクセスから保護する技術だ。暗号化が解除された状態でハッカーらは、ARS・文字等の決済認証情報を平文で抜き出すことができた。今回のハッキングで、計2万2227人の顧客個人情報（加入者識別番号IMSI、端末識別番号IMEI、電話番号等）が流出した状況が確認された。また、無断少額決済被害者は368人と集計されており、被害金額は2億4319万ウォンに達することが明らかになった。少額決済被害者らはKTを相手に損害賠償訴訟を準備していると伝えられている。KTの安易な対応が、消費者らの金銭的被害につながったのだ。KTは警察から無断少額決済発生事実の通知を受けても、対応が遅れたという批判を避けることは難しくなった。KTは9月1日、警察から関連事実の通知を受けたが、9月8日午後7時16分になってようやく侵害事故を申告した。また、外部点検で内部サーバー侵害の痕跡を9月15日に確認しても、9月18日午後11時57分まで報告を遅らせたことが明らかになった。これはKTが事故を縮小したり隠蔽しようとしたという疑惑を呼び起こすに十分だ。政府はKTのハッキング隠蔽疑惑について徹底的な調査を進めており、違法事実が確認された場合、厳重な責任を問うという立場を明確にした。科学技術情報通信部は今回の事態を契機に、情報通信網事業者のセキュリティ管理体系を全般的に点検し、同様の事故が再発しないよう制度改善を推進する計画だ。今回の事件に関連して、KTは「顧客情報保護に最善を尽くしており、政府調査に積極的に協力する」という原則的な立場を明らかにした。しかし、KTの釈明が既に深刻に毀損された消費者信頼を回復し、被害顧客らの怒りを鎮めることができるかは未知数だ。現在、科学技術情報通信部はKTを対象に追加的な現場調査を進めており、調査結果によっては課徴金賦課、是正命令等の行政処分が下される可能性がある。また、検察は今回の事件に関連した責任者らに対する捜査を進める予定だ。KTは今回の事態に対する責任を回避することは難しいとみられる。