KT, LG U+ 해킹 의혹

KT와 LG유플러스 해킹 의혹은 2025년 8월 Phrack Magazine 40주년 기념호에서 발표된 ‘APT Down: The North Korea Files’ 자료 공개를 계기로 국내에 알려지게 됐다[1][2].
​
주요 타임라인
- **2025년 8월 8일**: 해커 ‘Saber’와 ‘cyb0rg’는 디도시크릿츠(DDoSecrets)를 통해 탈취한 약 8.9GB의 데이터를 공개한다. DEFCON 33 현장에서 Phrack 계간지 40주년 기념호 형태로 이 공격의 세부 내역이 소개된다[2].
- **2025년 8월~9월**: 자료에는 한국 정부 핵심기관(국군방첩사령부, 외교부, 행정안전부, 통일부 등) 및 민간기업(특히 KT와 LG유플러스)에 대한 해킹·접근 흔적·유출 정보가 포함되어 있음을 국내 보안 업체와 고려대 정보보호대학원이 분석한다[2].
- **2025년 9월 1~2일**: 과학기술정보통신부와 KISA가 KT와 LG유플러스에 대한 현장조사 및 포렌식, 서버 검증을 진행하면서 의혹이 공식화된다[1].
- **2025년 9월**: 두 통신사는 해킹 의혹을 부인하면서 투명한 소명과 정부 조사에 적극 협조하겠다는 입장을 발표한다[1].
​
KT & LG유플러스 해킹 피해 내용
- **KT**: 웹서비스 서버의 SSL 인증서와 개인키, 원격제어 서비스 인증서, 내부 서버 접속 비밀번호가 대량으로 유출된 것으로 본다[2].
- **LG유플러스**: 내부 계정 권한 관리 시스템(APPM) 소스코드, 서버 정보, 수천 개의 직원 및 협력사 계정 정보, 서버 목록 등 핵심 인프라 관련 데이터 유출이 보고된다[2].
- **공격 기법**: 톰캣 원격 커널 백도어, Ivanti 취약점 제로데이 기반 Bushfire 익스플로잇, Cobalt Strike를 활용한 정교한 C2 통신, 내부망 프록시, 포트 노킹 방식 침투 등 다수의 신종 & 변형 악성코드 활용이 확인됐다[2].
- **공격자 배경**: 과거에는 북한 '김수키' 연계 조직 소행으로 알려졌으나 고려대 등에서 중국 조직의 개입 가능성(공휴일, 언어 패턴, KST 사용 등)도 제기됨[2].
​
시사점 및 대응
- 정부는 40개사에 대해 정보보호 공시 점검과 현장 정밀 포렌식을 실시 중이며, 키 유출 및 접근 로그 등 이상 징후 확인에 집중하고 있다[1].
- 전문가들은 다양한 국가연계 해커 그룹이 한국을 타깃으로 침투 중이며, 망분리·다중방어망을 뚫는 공격이 실제적으로 반복되고 있다는 점을 지적한다[2].
- KT, LG유플러스 등 통신사들은 해킹 정황을 부인하며 정부 조사에 협조, 자체 점검 결과 역시 해킹 피해가 없다고 주장하고 있다[1].
​
요약
2025년 8월부터 9월까지 공개된 Phrack Magazine 자료와 정부 조사 결과, KT 및 LG유플러스는 **서버 인증서·키, 내부 계정·접속 정보 등 핵심 데이터가 유출된 정황**이 주요 내용이다. 다만 두 회사 모두 침해 사실을 공식적으로 인정하지 않고 있다[1][2].
​
출처
[1] KT·LGU+ 해킹조사…화이트해커 제보로 공개된 유출 데이터 https://www.news1.kr/it-science/general-it/5898320
[2] KT·LGU+도 해킹? 정부 “정밀 포렌식” https://www.khan.co.kr/article/202509022132035