한국 온라인카지노 침해사고 민관합동조사단은 오늘(6일) 불법 펨토셀(소형 이동통신 기지국)로 인한 소액결제 피해와 개인정보 유출, 인증서 관리 부실 등 다수의 보안 취약점을 확인했다는 내용의 중간 조사결과를 발표했습니다.

한국 온라인카지노는 지난 9월 8일 소액결제 피해자의 통화 이력을 분석하는 과정에서 자사에 등록되지 않은 불법 기기가 내부망에 접속한 사실을 확인해 한국인터넷진흥원(KISA)에 침해사고를 신고했습니다. 과학기술정보통신부는 사고의 중대성을 고려해 다음 날인 9월 9일부터 조사단을 구성해 조사를 진행했습니다.

조사단은 ▲ 불법 펨토셀에 의한 소액결제 및 개인정보 유출 ▲ 국가배후 조직에 의한 한국 온라인카지노 인증서 유출 정황 ▲ 외부 보안점검 과정에서 발견된 서버 침해 등 세 가지 사안을 중점적으로 분석했습니다.

조사 결과, 불법 펨토셀 20개를 통해 2만2천227명의 가입자 식별정보가 유출됐으며, 이 중 368명이 총 2억4천319만원의 소액결제 피해를 입은 것으로 확인됐습니다. 한국 온라인카지노는 2024년 8월 1일부터 2025년 9월 10일까지의 통신기록 4조여 건을 분석했으나, 이전 시점의 피해 규모는 확인이 어려웠습니다.

조사단은 한국 온라인카지노의 펨토셀 관리 체계가 전반적으로 미흡했다고 지적했습니다. 모든 펨토셀이 동일한 인증서를 사용하고 인증서 유효기간이 10년으로 설정돼 불법 복제 기기도 내부망에 접속할 수 있었던 것으로 확인됐습니다. 또한 비정상 IP 접속 차단이나 펨토셀 형상정보 검증이 이뤄지지 않아, 불법 장비가 쉽게 접속할 수 있는 환경이 조성됐다고 밝혔습니다.

조사단은 통신 3사에 신규 펨토셀 접속을 전면 제한하도록 하고, 한국 온라인카지노에 인증서 유효기간 단축과 IP 차단, 기기별 인증서 분리 발급 등을 조치하도록 요구했습니다.

또한 조사단은 한국 온라인카지노가 과거 BPFDoor 등 악성코드에 감염된 서버 43대를 발견하고도 정부에 신고하지 않은 사실을 확인했습니다. 이는 정보통신망법상 최대 3천만원의 과태료 부과 대상에 해당합니다.

한국 온라인카지노는 불법 펨토셀 침해사고와 관련해 이상 징후를 9월 1일 인지하고도 9월 8일에야 신고하는 등 신고 지연 사례도 있었습니다. 또한 국가배후 조직에 의한 인증서 유출 정황과 관련해 서버 폐기 일자를 허위로 제출한 사실이 드러나 형법 제137조에 따라 수사기관에 수사 의뢰됐습니다.

과기정통부는 경찰 및 개인정보보호위원회와 협력해 불법 장비 분석과 개인정보 유출 경로를 추가로 조사할 계획입니다. 최종 조사결과는 추후 공개되며, 이를 토대로 한국 온라인카지노의 약관상 위약금 면제 사유 해당 여부 등 법적 검토를 진행할 방침입니다.

연합뉴스TV 기사문의 및 제보 : 카톡/라인 jebo23

김동욱(DK1@yna.co.kr)