서울 종로구 KT 광화문 사옥이 보이고 있다. 뉴시스
개인정보보호위원회는 개인정보 보호법 위반 혐의로 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령을 의결했다고 30일 밝혔다.
조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 불법 펨토셀에 탑재해 KT 이동통신망에 접속한 뒤, 이용자 단말기와 내부망 사이를 오가는 통신 정보를 가로챘다.
해커는 확보한 통신 정보에 이름과 생년월일 등 개인정보를 추가로 결합해 소액결제를 시도했고, 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 결제를 진행한 것으로 조사됐다.
이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐으며, 368명이 총 2억4000만원 규모의 무단 소액결제 피해를 입었다.
개인정보위는 KT가 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않는 등 보안관리가 미흡했다고 지적했다. 또 펨토셀 관리 서버 우회 경로가 존재했고, 비인가 셀 아이디의 이상 접속을 탐지하거나 차단하는 체계도 갖추지 못했다고 설명했다.
이에 따라 해커는 2024년 10월부터 지난해 9월까지 약 11개월 동안 별도 인증 절차 없이 KT 내부망에 접속했지만, KT는 소액결제 피해 민원이 발생한 뒤에야 이상 접속 사실을 확인한 것으로 조사됐다.
개인정보위는 KT에 무선통신망 장비 보안 강화와 개인정보 보호 거버넌스 정비를 명령하고, 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크 시스템까지 확대하도록 권고했다.
조사 과정에서는 별도의 악성코드 감염 사실도 확인됐다.
서울 용산구 LG유플러스 사옥 모습. 김경록 기자
또 KT는 지난해 4월 악성코드 감염 여부를 점검하는 과정에서 침해 서버 10대의 로그를 삭제한 것으로 조사됐다. 초기 조사에서는 관련 자료가 없다고 진술했지만, 디지털 포렌식으로 로그 삭제 정황이 확인되자 진술을 번복하고 별도로 보관하던 로그를 제출한 것으로 나타났다.
개인정보위는 이를 조사 방해 행위로 판단해 KT를 고발하기로 했다.
LG유플러스에 대해서도 공무집행방해 혐의가 있다고 보고 수사기관에 수사를 의뢰했다.
개인정보위는 LG유플러스가 개인정보 유출 조사 착수 전에 통합 비밀번호 관리시스템(APPM) 서버 운영체제(OS)를 재설치하거나 서버를 폐기해 정확한 유출 경위와 추가 유출 여부를 확인하기 어렵게 했다고 밝혔다.
개인정보위는 이번 사건을 계기로 증거 은닉·폐기 시 형사처벌 또는 전체 매출액의 3% 이내 과징금 부과, 신고포상금 제도 도입 등을 포함한 개인정보보호법 개정을 추진할 방침이다. 또한 조사 비협조나 시정명령 미이행 사업자에는 하루 매출액의 0.3%를 이행강제금으로 부과하고, 침해사고 발생 시 자료보전명령을 내릴 수 있도록 제도를 보완할 계획이다.
정재홍([email protected])