과기정통부 "소액결제 보안 취약···2단계 인증도 강구"

(오른쪽 첫 번째부터)류제명 과학기술정보통신부 2차관과 김영섭 KT 대표이사, 조좌진 롯데카드 대표이사, 윤종하 MBK파트너스 부회장이 24일 오전 서울 여의도 국회 과학기술정보방송통신위원회에서 열린 해킹 사고 진상 규명 관련 청문회에서 '펨토셀 및 GRX 보안 취약점에 대한 연구 자료'를 시청하고 있다. 사진=강민석 기자 [e-mail]

류제명 과학기술정보통신부 제2차관은 24일 국회 과학기술정보방송통신위원회에서 열린 통신·롯데카드 해킹 청문회 도중 무단 소액결제·불법 기지국 접근 등을 방지하기 위해 강화된 인증 절차를 강구하겠다고 밝혔다.

류 차관은 이준석 개혁신당 의원의 무단 소액결제 원천 차단 방법과 관련한 질의에 "ARS나 문자인증만으로 결제가 가능한 방식이어서 보안 인증과정에서 취약점이 있다고 판단한다"며 "생체 인증이나 결제 비밀번호 설정 등 2단계에 걸친 강화된 인증 방안을 강구해 조치하겠다"고 답했다.

이 의원은 "전파관리소에 펨토셀이나 비인가 방식으로 기지국 운영하는 자를 잡아야 할 책임이 있지만, 음영지역에 보완적으로 설치되는 것이고 전파 커버리지가 2~30m에 달하다 보니 실제로 잡긴 어려운 상황"이라고 운을 뗐다.

그러면서 "기존의 기지국 같은 경우 타워를 타고 직접 올라가야 하지만, 쟁점인 초소형 기지국(펨토셀)의 경우 어디에서 설치, 접근 가능한 실정"이라며 "실력이 뛰어난 해커는 이를 노려 펌웨어 수정, 중간자 공격(MITM)을 할 수 있는 상태고, 사실상 결함은 치유되지 않았다고 보는 게 맞다"고 지적했다.

류 차관은 "지금 통신사들이 자체 조사하고 있고 초소형 기지국에 대해서는 개별 기지국들이 보안 문제없는지 입증을 하나하나 하도록 요구했다"며 "입증되지 않은 펨토셀은 폐기하거나 교체해야 하고 불법 기기가 작동하는 상태는 차단해야 한다고 생각한다"고 했다.

그러면서 "우선적으로 인증받지 않은 불법 기지국은 접속 불가한 상태로 설정해 놓은 상태"라고 덧붙였다.