펨토셀 뚫린 KT, 540억 과징금…LGU+는 증거인멸 수사의뢰
개인정보보호위원회가 지난해 불법 소형 기지국(펨토셀)을 악용한 개인정보 유출로 무단 소액결제 피해가 발생한 KT에 대한 제재 수위를 결정한다. 과징금 규모는 위반 행위와 관련된 매출액의 최대 3%까지 부과할 수 있으며, 과징금 최대치 안에서 위반 행위 중대성과 피해 규모, 사업자 대응을 종합적으로 따져 최종 수위를 결정한다. 사진은 29일 서울 광화문 KT 사옥 모습. 뉴스1
개인정보보호위원회는 30일 “전날 전체회의를 열고 개인정보보호법을 위반한 KT에 과징금 539억7900만원을 부과하고, 거짓 자료 제출 등으로 조사를 방해한 행위에 대해서는 고발하기로 했다”고 밝혔다. KT의 통신매출만을 기준으로 과징금이 산정됐다. 송경희 개인정보위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”고 밝혔다.
KT 사건은 ‘펨토셀’ 관리 부실에서 비롯됐다. 펨토셀은 무선통신 신호가 약한 곳에 설치하는 초소형 기지국을 말한다. 조사 결과, 해커는 분실된 KT 펨토셀에서 인증서를 빼낸 뒤 이를 자체 제작한 장비에 심어 KT 통신망에 접속했다. 이후 가입자 휴대전화가 해커가 만든 ‘가짜’ 펨토셀을 거치도록 유도해 단말기와 KT 내부망 사이의 송·수신 정보를 가로챘다.
빼낸 정보는 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이다. 여기에 이름과 생년월일 등 추가 개인정보를 결합해 휴대전화 소액결제를 시도했다. 이후 결제 인증번호가 담긴 문자메시지와 ARS까지 탈취해 무단 결제에 성공했다. 조사 결과, KT 이용자 1만6647명(알뜰폰 포함)의 개인정보가 유출됐고 368명이 약 2억4000만원 규모의 소액결제 피해를 봤다. 개인정보위 관계자는 “단순 개인정보 유출을 넘어 실제 금전 피해로 이어진 점에서 사안이 중대하다”고 말했다.
펨토셀의 보안관리는 취약했다. 사고 당시 인증서 유효기간을 10년으로 설정하고 접속 IP 제한도 두지 않아 해외에서도 얼마든지 내부망 접속이 가능했다. 해킹된 펨토셀을 탐지하지도 못했다. 이에 해커는 약 11개월(2024년 10월~2025년 9월) 동안 자유롭게 내부망을 드나들 수 있었다.
개인정보위는 KT가 “감염 서버에 대한 보존 자료가 없다”고 진술했다가 디지털포렌식으로 로그 삭제 정황이 확인되자 뒤늦게 자료를 제출하는 등 조사를 실질적으로 방해했다고 보고 있다. 이를 조사방해 행위에 해당한다고 판단, KT를 고발하기로 했다.
이에 대해 KT는 “처분 결과를 무겁게 받아들인다”고 했다. 이어 “개인정보보호 체계를 재정비하고 보안 투자 확대 등을 통해 재발 방지와 신뢰 회복에 나서겠다”고 덧붙였다.
LG유플러스는 개인정보 유출 의혹 이후 통합 비밀번호 관리 시스템 서버 운영체제를 재설치하거나 폐기한 것으로 조사됐다. 개인정보위는 “정확한 유출 경위 확인을 어렵게 했다”고 밝혔다. LG유플러스를 공무집행 방해 혐의로 수사의뢰하기로 했다. 현행법상 조사 중 증거 은닉·폐기는 제재할 수 있지만, 조사 착수 전 행위에 대한 처벌 규정은 미비하다는 게 개인정보위 설명이다.
개인정보위는 조사 착수 전에 자료를 은닉·폐기한 행위도 처벌할 수 있도록 개인정보보호법 개정을 추진한다. 증거 은닉·폐기 시 과징금(전체 매출액의 3%)을 부과하고, 조사 비협조나 시정명령 미이행에 대해서는 하루 매출액의 0.3%를 이행강제금으로 부과하는 방안도 검토하기로 했다.
LG유플러스 관계자는 “이미 동일한 사항에 대해 경찰수사가 진행중”이라며 “경찰수사에 성실히 임하고 있다”고 말했다.
송경희 개인정보위 위원장은 “사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 이어지도록 제도를 개선할 것”이라며 “투명한 공개가 가장 합리적인 선택이라는 인식이 업계에 자리 잡도록 하겠다”고 말했다.
김민욱.홍상지([email protected])