KT의 펨토셀 관리 부실로 촉발된 대규모 개인정보 유출과 무단 소액결제 사고에 대해 개인정보보호위원회가 약 540억원의 과징금을 부과하고, 조사 방해 혐의로 수사기관 고발까지 결정했다. 개인정보위의 이번 결정은 보안 사고와 함께 실질적인 금전 피해 발생, 기업의 사고 은폐 정황까지 한데 책임을 물은 강도 높은 제재라는 평가다.
개인정보위는 29일 전체회의를 열고 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령 등을 의결했다고 밝혔다. 조사 결과 해커는 분실된 KT 펨토셀에서 인증서를 추출해 자체 제작한 불법 펨토셀에 심은 뒤 KT 이동통신망에 약 11개월간 무단 접속했다. 이 과정에서 이용자 단말기가 가짜 기지국을 거치도록 유도해 휴대전화번호, 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI) 등을 빼돌렸다. 또 별도로 확보한 고객 이름·생년월일 등 개인정보와 결합해 소액결제를 시도했다. 결제 인증문자(SMS)와 자동응답전화(ARS)까지 탈취하는 방식으로 범행이 이뤄졌다. 그 결과 총 1만6647명의 개인정보가 유출되고 368명이 약 2억4000만원의 무단 결제 피해를 입었다.
앞서 개인정보위는 지난해 유심(USIM) 정보가 해킹돼 약 2324만명의 고객 개인정보가 유출됐던 SK텔레콤을 대상으로 1347억9100만원의 과징금과 960만원의 과태료를 부과하기도 했다. 이는 전년(2024년) SK텔레콤의 무선 매출액(약 10조1000억원)의 약 1%에 해당하는 수준이다.
이번 KT 사고의 근본 원인은 KT의 허술한 기지국 관리와 내부망 보안 부실이었다. 펨토셀 인증서 유효기간을 10년으로 길게 설정하고 접속 IP를 제한하지 않아 타사나 해외 IP를 통한 접근도 가능했다. 펨토셀 관리서버를 우회하는 경로가 존재했고, 비인가 셀 아이디를 탐지·차단하는 체계도 갖추지 못했다. 해커는 이를 악용, 별다른 인증 절차 없이 KT 내부망을 자유롭게 드나들었고, KT는 피해 민원이 접수된 뒤에야 비정상 접속을 인지했다.
개인정보위는 KT에 무선통신망 장비 전반의 보안 강화와 내부망 접근 통제 개선을 명령했다. 또 일부 IT 서비스에만 적용되던 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크·시스템까지 확대하도록 권고했다. KT는 “고객과 국민께 심려를 끼쳐 죄송하다”며 “보안 투자를 확대하고 개인정보 보호 체계를 원점에서 재정비하겠다”고 밝혔다.
조사 과정에서 드러난 또 다른 문제는 KT의 악성코드 감염 사고 은폐 정황이다. 개인정보위는 펨토셀 사건을 조사하던 중 2024년 3월 KT 로밍렌털서비스 홈페이지 취약점을 통해 해커가 내부망에 침투해 서버 38대를 ‘BPFDoor’ 등 악성코드로 감염시킨 사실을 확인했다. 해커는 관리자 페이지에 SQL 삽입 공격을 시도해 KT 임직원과 협력사 직원 일부의 이름·전화번호·계정 정보를 조회·유출한 것으로 조사됐다. 그러나 KT는 당시 침해 사실을 인지하고도 정부에 신고하지 않고 자체 조치했다. 또 이후 전수 점검 과정에서 감염 서버 10대의 로그를 삭제한 정황도 드러났다.
KT는 조사 초기 “보존 자료가 없다”고 진술했으나, 디지털 포렌식 결과 로그 삭제 사실이 확인되자 뒤늦게 별도 보관하던 자료를 제출했다. 개인정보위는 이를 명백한 조사 방해 행위로 판단해 KT를 수사기관에 고발하기로 했다.
한편 개인정보위는 LG유플러스가 개인정보 유출 조사 착수 전에 통합 비밀번호 관리시스템(APPM) 서버 운영체제를 재설치하거나 서버를 폐기해 수사기관의 증거 확인을 어렵게 한 행위에 대해 공무집행방해로 판단하고 수사 의뢰하기로 했다.
개인정보위는 이번 사건을 계기로 조사 실효성을 높이기 위한 제도 개선도 추진한다. 조사 착수 전 증거를 은닉·폐기한 경우 형사처벌 또는 전체 매출액의 3% 이내 과징금 부과가 가능하도록 하고, 신고포상금 제도 도입, 시정명령 미이행 시 하루 매출액의 0.3% 이행강제금 부과 등을 포함한 개인정보보호법 개정을 추진할 계획이다.
송경희 개인정보위원장은 “국민 생활에 필수인 통신 서비스의 보안 역량을 강화하는 계기가 돼야 한다”며 “사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 정비하겠다”고 강조했다.
