미국이었으면 이 회사 망했음.
이동식 소형 기지국( 펨토셀 )을 차에 싣고 아파트 인근을 돌아다니며
약 2만명 분의
개인정보, 신용카드 결제정보
나아가서는 그 정보를 이용하여 상품권 등을 구입해
범죄수당으로 이용한 사건이 발생했습니다.
현재 검거된 인원만 13명으로 파악되며
핵심인물 a,b,c,d 는 모두 중국인으로 밝혀졌습니다.
a 는 차에 싣고 다니며 정보를 수집한 실행책
b 는 이동식 소형 기지국 장비를 보관 전달
c 는 범죄수익을 현금화 후 중국으로 전달
d 는 환전 과 송금
전문적이고 체계적으로 준비된 조직이며
이들은 조사과정에서 중국에 윗선의 명령하에 움직였다고 밝히며
이들을 배후에서 조종한 중국의 윗선의 존재에 대한 가능성 또한 생겼습니다.
현지 2심 까지 진행 되었고
대법원 상고까지 가는지는 지켜봐야 합니다.
2심까지의 판결 내용입니다.
A: 불법 펨토셀을 차량에 싣고 수도권 아파트를 돌며 범행 → 징역 4년 6개월
B: 불법 펨토셀 장비를 보관·전달 → 징역 3년 6개월
C: 범죄수익을 현금화하고 중국으로 송금 → 징역 2년 6개월
D: 범죄수익의 환전·송금에 가담 → 징역 8개월, 집행유예 2년
그럼 A 는 어떻게 범행을 실행하였는지를 한번 보겠습니다.
우선 이동식 소형 기지국(펨토셀)이란 무엇인지 짚고 넘어가야 합니다.
우리가 쓰는 스마트폰은 전파를 보내기도 하고 받기도 합니다.
이 전파는 인터넷 통신망에 닿은 후 목적지로 전해지게 됩니다.
받는 경우는 그 반대이겠죠.
하지만 스마트폰같이 작은 기기는 보내는 전파의 세기라던가
그 받거나 도달할 수 있는 거리의 한계가 분명하지요.
이를 중간에서 돕는 것이 기지국입니다.
기지국은 스마트폰의 전파를 받아서
인터넷 통신망에 정보를 전달합니다.
기지국의 영향아래 있는 곳은 스마트폰 사용이 원활하고
주변에 기지국이 없거나 먼 험준한 산속, 산꼭대기 등에는
전파가 약해지거나 아예 핸드폰이 먹통이 되는 경우를 발견할 수 있지요.
즉 기지국의 영향, 신호의 세기가 강하면 연결도 잘 되는 것입니다.
이렇기에 우리가 쓰는 스마트폰은 검증된 기지국의 신호라면
더 강한쪽으로 자동으로 잡히게끔 설정이 되어 있습니다.
이걸 왜 자동으로 잡게 해놓아서 스마트폰 정보가 털리게 했냐고는 말하지 않길 바랍니다.
왜냐하면
| 통신사 | 5G 기지국 |
|---|---|
| SK텔레콤 | 121,252개 |
| KT | 114,552개 |
| LG유플러스 | 109,991개 |
| 합계 | 345,795개 |
기지국 숫자 보이시나요?
네, 당신의 통신사가 어느 회사든
이동하는 지역에 따라 기지국이 바뀔때마다
해당 기지국으로 접속하시겠습니까?
예 / 아니오 를 누를 수는 없지 않을까요?
그렇기 때문에 스마트폰은 자동으로 강한 전파를 자동으로 잡아
이용자를 편리하게 합니다.
뭐 이번 사건 자체가 이동식 기지국을 통해 정보를 불법적으로 얻은 일이기 때문에
기지국과의 연결을 전면 차단하는
비행기 모드를 키고
완벽히 WIFI 에만 의존한 사용이었다면
당신의 정보는 온전했을지도 모릅니다.
하지만 왜 고객이 그래야 하죠?
고객이 왜 돈내고 불편함을 감수해야하죠?
왜 집에 와서 비행기 모드를 켜야하죠
파일럿이신가?
이번 일의 잘못은 완벽히 통신사에 있습니다
KT 입니다.
고객은 돈을 내고 서비스를 편하게 즐기면 됩니다.
물론 되도 않는 일까지 즐겨서는 안되겠지만
이런 업체의 안전망이 뚫려 발생한 원천적인 문제라면
이것은 고객이 주의해야 할 일과는 거리가 멀 것입니다.
그럼 어떻게 KT의 안정망이 뚫리게 된 것일까요?
먼저 이동식 소형 기지국 기기는 그 구매영역을 전세계로 확대한다면
어찌됐든 구매는 할 수 있는 것이라 합니다.
즉 기기만으로 보안이 성립한다고는 할 수 없습니다.
그럼 무엇일까요
네, 단순 기기만이 아닌
” 이 기기는 인가된 정식 기기라는 인증서 ” 가 먼저 있어야 할 것이고요
관계자 접속 아이디가 있어야 할 것입니다.
정식으로 인증된 기기에
신원이 확실한 로그인 ID
이 둘만 온전해도 철통보안은 대부분 유지가 가능합니다
제가 어찌 아냐고요?
세상의 모든 보안의 기본구조가 다 저러합니다.
저기에 실시간으로 암호가 바뀌는
otp 등이 더 추가되어 그 엄중함을 더할 뿐이죠.
당장에 당신의 스마트폰을 누가 집어간다 하더라도
당신의 뱅킹앱 접속은 다른 문제인거처럼요.
그럼 설마 A 는 저 두가지를 다 구한걸까요?
아무리
지금은 민간기업이라지만
2002년 까지는 정부가 소유 운영하던 기업인
KT 인데 그게 가능할까요?
에이 설마요.
네, 맞습니다. 다 있었습니다.
인증서는 2020년에 폐기된 정식 기기에서 추출한 것이며
인증 기간은 10년짜리였다고 전해집니다.
이건 왜 폐기를 안 한걸까요? 기기는 폐기했으면서요.
설마 여러기기를 한 인증서가 인증하는 시스템이었던걸까요?
둘째로 범인이 사용한 ID 는 비인가 ID 입니다.
뭔소리냐면 KT 본사측에서 정식으로 승인하지 않은 ID 가
버젓히 로그인이 되고 인가 ID 업무를 수행한 것이죠.
이게 뭔소린가, 얼마나 말이 안되는 일인가 하면
보통은 인증서는 어찌어찌 구해서 가짜기지국에 설치한다 하더라도
본사의 확인 승인이 필요한
관계자 ID 만큼은 어떻게 만들 수가 없으니
본사직원을 공범으로 만들든 그 아이디를 구매하든 해야 할 범죄였습니다.
근데 그냥 만든 아이디로 된거죠.
그리고 범행은 무려 11개월 이어졌고요.
11시간 아닙니다.
비인가 아이디가 11개월을 활동했는데
몰랐다면
이건 아이디의 생성, 관리에 대한 업무체계가 전혀 없었다고 보면 되는 겁니다.
차라리 제가 예로 설명드린 범죄였어야 더 말이라도 된다 해야 할 정도입니다.
저거만 제대로 했어도 이런 말도 안되는 범죄는 안 일어났습니다.
이건 제가 과한걸 바라는게 아니라
서비스를 제공하는 업체로써
당연히 너무나 당연하게 어쩌면 가장 중요시해야 할
업무였던 것입니다.
고객의 개인정보와 직접적인 영향이 있는 일이었으니까요.
하지만
인증서는 그냥 나돌아 다니고
아이디는 범죄자가 그냥 만들어도 접속이 되고
본사는 이를 11개월 동안이나 몰라
고객 정보는 기본정보 뿐만 아니라 카드결제정보까지
다 털리고
실제 발생한 피해액만 현재 집계된 것만해도
2억 5천만원에 이릅니다.
2만명의 정보가 중국으로 넘어간 것은
피해산출도 할 수 없을 것입니다.
저는 이일이 미국같이 소송이 쌘 나라에서 벌어졌다면
회사의 존속이 흔들릴만한 일이라 생각됩니다.
다만 대한민구에서 벌어져서 그런지
사람들은 뭔 부산에 상어 나온거 신기하다고
이름이나 지어주고 있는 기사가 더 크게 나는게
개탄스러울 뿐이네요.