펨토셀 해킹 1.6만명 정보 유출
개보위, 거짓자료 제출 은폐 고발
KT “보안 투자 확대… 신뢰 회복”

허술한 보안관리로 1만6000여명의 개인정보를 유출한 KT가 과징금 540억원을 물게 됐다. 

30일 서울 광화문 KT 사옥 모습. 뉴스1

개인정보보호위원회는 29일 전체회의에서 ‘개인정보보호법’을 위반한 KT에 대해 과징금 539억7900만원을 부과했다고 30일 밝혔다. 악성코드 감염사고 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 행위에 대해서는 고발 조치하기로 했다. 

개인정보위에 따르면 해커는 분실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 2024년 10월부터 지난해 9월까지 KT 이동통신망에 접속했다.

펨토셀은 통신 신호가 약한 가정이나 사무실 등에 설치하는 소형 기지국이다. 이 과정에서 KT 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐고, 총 368명이 약 2억4000만원의 무단 소액결제 피해를 입었다. 유출 인원은 KT가 당초 신고한 2만2227건 가운데 법인과 다중회선 등 중복을 제외한 실제 정보주체 수를 산정한 결과다.

개인정보위는 KT가 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않는 등 내부망 접근 통제를 소홀히 했다고 판단했다. 

개인정보위는 2024년 3월 KT 서버 38대가 악성코드에 감염돼 일부 임직원·협력사 직원의 개인정보가 유출된 정황도 확인했다. KT는 이를 신고하지 않은 채 지난해 악성코드에 침해당한 서버 10대의 로그를 삭제하고, 조사 과정에서 감염 서버에 대한 보존자료가 없다고 거짓 진술한 것으로 조사됐다.

양정삼 개인정보위 사무처장은 브리핑에서 ‘매출액 최대 3%까지 부과할 수 있는 규정에 비해 과징금이 적다’는 지적에 대해 “다른 통신사 사례와 비교했을 때 유출 규모와 유출 정보가 소규모였고, 피해보상과 시정조치가 신속하게 협조된 점이 감안이 됐다”고 설명했다.

개인정보위는 또 LG유플러스가 지난해 9월 정보 유출 정황이 있는데도 관련 서버(운영체제)를 재설치 및 폐기한 행위에 대해서도 수사기관에 수사를 의뢰했다고 밝혔다. 

개인정보위는 이번 사건을 계기로 조사 실효성을 높이기 위한 제도 개선도 추진한다. 개인정보위가 조사를 착수하기 전 제재를 회피하기 위한 목적으로 증거를 은닉·폐기한 경우 형사처벌과 함께 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 법 개정을 추진할 계획이다. 

송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”고 밝혔다.

KT는 30일 입장문을 내고 “결과를 무겁게 받아들이며 다시 한 번 고개 숙여 사과드린다”고 밝혔다. 이어 “보안 투자를 확대하고 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 덧붙였다. KT는 개보위 의결서를 받은 뒤 제재에 대한 법적 대응 여부를 검토하기로 했다.

앞서 SK텔레콤은 개인정보 유출 사건 관련 1348억원의 과징금 처분에  불복해 행정소송을 제기했다.

김세희·이정한 기자