정부가 불법 펨토셀의 내부망 접속을 약 11개월간 탐지하지 못한 KT에 과징금 539억7900만원을 부과했다.
추가로 확인된 KT 서버 악성코드 감염 사건은 종결하지 않고 수사기관과 협력해 조사를 이어간다.
양청삼 개인정보보호위원회 사무처장은 30일 “KT의 개인정보 유출 사고는 안전조치 의무 위반에 해당한다고 판단해 과징금 539억7900만원을 부과하기로 했다”며 “악성코드 감염 건은 조사가 남아 있으며 수사로 새로운 사실이 확인되면 별도 처분할 예정”이라고 밝혔다.
앞서 개보위는 29일 전체회의에서 KT에 과징금과 시정명령, 개선권고, 공표명령을 의결했다.
개보위 조사 결과, 해커는 유실된 KT 펨토셀의 인증서를 자체 제작한 장비에 삽입해 이동통신망에 접속했다. 이용자 단말이 불법 펨토셀을 경유하도록 유도해 송·수신 정보를 가로채고, 별도로 확보한 개인정보와 결합해 소액결제를 요청한 뒤 결제인증코드까지 탈취하면서 금전적 피해로 이어졌다.
알뜰폰 이용자를 포함한 1만6647명의 휴대폰 번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐고, 368명은 약 2억4000만원의 무단 소액결제 피해를 입었다.
해커는 2024년 10월 8일부터 2025년 9월 5일까지 11개월 간 KT 내부망에 접속했다. KT는 소액결제 피해와 민원이 발생한 뒤에야 비정상 접속을 확인했다.
개보위는 사고 원인을 KT의 내부망 접근통제 소홀로 판단했다. KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않았다. 관리서버 우회 경로가 있었고 비인가 셀 아이디(Cell ID)의 이상 접속을 탐지·대응하는 체계를 갖추지 않았다.
이에 무선통신망 장비의 취약점 점검과 접근통제 강화를 명령했다. 개인정보 보호책임자(CPO)의 역할을 명확히 하고 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크까지 확대하라고 권고했다.
별도 악성코드 사건에서는 2024년 3월 KT 서버 38대의 감염 사실과 임직원·협력사 직원 일부의 개인정보 조회·유출 정황이 확인됐다. 다만, 로그 부족으로 이용자 개인정보의 추가 유출 여부는 확인하지 못했다.
개인정보위는 KT의 감염 사실 미신고, 서버 10대의 로그 삭제, 거짓 자료 제출 등에 대해 고발 조치했다.
이와 함께 조사 착수 전 관련 서버 운용체계(OS)를 재설치하고 서버를 폐기한 LG유플러스에 대해서도 수사를 의뢰됐다.
개인정보위는 조사 전 증거 은닉·폐기에 형사처벌과 전체 매출액의 3% 이내 과징금을 부과하는 제도 개선을 추진한다. 또 신고포상금과 자료보전명령을 도입하고 조사 비협조나 시정명령 미이행에는 일 매출액의 0.3%까지 이행강제금을 부과하도록 법을 개정할 방침이다.
송경희 개인정보위 위원장은 “이번 처분이 통신 업계 전반의 보안 역량을 강화하는 계기가 돼야 한다”며 “특히 사고 자료 은폐·축소 행위에 대한 제도를 개선해 기업이 투명히 공개하도록 하겠다”고 말했다.
박진형 기자 jin@etnews.com
