개인정보 유출사고와 무단 소액결제 피해를 일으킨 KT에 과징금 539억7900만원이 부과됐다. KT는 악성코드 감염 사고 조사 과정에서 서버 로그를 삭제하고 거짓 자료를 제출하는 등 개인정보보호위원회의 조사를 방해한 혐의로 고발 조치도 받았다.
개인정보위는 KT가 초소형 기지국 ‘펨토셀’를 부실하게 관리해 지난 2024년 10월부터 이듬해 9월까지 이용자 1만6647명의 개인정보가 유출되고 고객 386명이 약 2억4000만원의 무단 소액결제 피해를 입었다고 30일 밝혔다.
당초 과학기술정보통신부 민관합동조사단은 해커가 펨토셀을 통해 유출한 정보 규모를 2만2227건으로 발표했지만, 법인명의 회선과 다중회선 등 중복을 제외한 실제 정보주체를 기준으로 산정해 최종 유출 규모를 1만6647명으로 확정했다.
과징금은 개인정보보호법에 따라 위반행위와 관련한 매출액을 기준으로 산정했다. 무단 소액결제 피해가 발생한 KT의 5G·LTE 이동통신 매출을 기준으로 삼고 IPTV·초고속인터넷 등 사고와 직접 관련이 없는 사업 매출은 뺐다.
개인정보위는 KT가 이동통신 내부망에 대한 접근통제를 소홀히 해 공격자의 장기간 불법 접속을 막지 못했고, 이를 제때 탐지하지 못해 실제 금전 피해로 이어진 점을 중대한 위반행위로 판단했다. 다만 위반기간과 시정 여부, 피해 회복 노력 등을 종합적으로 고려해 최종 과징금을 539억7900만원으로 결정했다.
이번 사고의 원인으로 지목된 펨토셀은 KT가 2016년부터 음영지역 해소를 위해 도입한 소형기지국이다.
KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 내부망 접속 IP를 제한하지 않았다. 또한 비인가 장비나 이상 접속을 탐지하는 체계도 제대로 구축하지 않은 것으로 조사됐다. 이 때문에 해커는 약 11개월 동안 KT 내부망에 접속했지만 KT는 이를 탐지하지 못했고 소액결제 피해로 민원이 발생한 뒤에야 비정상 접속을 가려낼 수 있었다.
이와 별도로 개인정보위는 지난 2024년 발생한 KT IT서비스 네트워크 악성코드 감염 사고도 조사했다.
KT는 당시 개인정보를 처리하는 서버가 다수 감염됐음에도 정부에 신고하지 않고 일부 서버 로그를 삭제하는 등 침해 사실을 은폐한 정황도 확인됐다. 조사 과정에서는 관련 자료가 없다고 진술했다가 뒤늦게 로그를 제출하는 등 조사를 방해한 혐의도 적용돼 고발조치가 결정됐다.
개인정보위는 과징금 부과와 함께 KT에 통신설비 전반에 걸친 취약점 점검, 개인정보 보호책임자(CPO)의 역할 강화를 위한 대책을 수립해 보고하도록 시정명령했다. 아울러 이동통신 네트워크와 시스템에 대해 개인정보보호 관리체계(ISMS-P) 인증을 받도록 개선을 권고했다.
송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야한다”며 “특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다”고 강조했다.
KT는 “개인정보위의 처분 결과를 무겁게 받아들이며 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”고 밝혔다. 이어 “개인정보보호 보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 덧붙였다.
한편 개인정보위는 지난해 8월 미국 보안 전문지 ‘프랙’을 통해 제기된 LG유플러스의 개인정보 유출 건과 관련해 LG유플러스가 관련 서버 운영체제를 재설치하거나 폐기해 공무집행을 방해했다고 보고 수사기관에 수사를 의뢰하기로 했다.
