개인정보위, KT에 539억 7,900만 원 과징금…조사방해 고발

개인정보보호위원회가 불법 펨토셀을 통한 개인정보 유출 사고와 관련해 KT에 539억 7,900만 원의 과징금을 부과하고, 조사 방해 행위에 대해서는 고발하기로 했다.

개인정보위는 30일 KT의 안전조치 의무 위반을 인정해 시정명령과 처분 사실 공표도 함께 의결했다고 밝혔다.

조사 결과, 해커는 유실된 KT 펨토셀의 인증서를 복제해 자체 제작한 펨토셀로 KT 이동통신망에 접속했다. 이용자 단말과 내부망 사이의 정보를 가로챈 뒤 휴대폰 소액결제를 요청하고, 인증코드가 담긴 ARS·SMS를 탈취한 것으로 나타났다.

이 과정에서 알뜰폰 가입자를 포함한 16,647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 368명을 대상으로 약 2.4억 원 상당의 무단 소액결제 피해도 발생했다.

위원회는 펨토셀을 관리·운영하는 KT가 내부망 접근통제를 소홀히 한 점을 사고 원인으로 판단했다. 인증서 유효기간을 10년으로 길게 잡고 접속 IP를 제한하지 않아 비인가 펨토셀이 내부망에 접속할 수 있는 상태였다는 설명이다.

해커는 별도 인증 절차 없이 약 11개월간 KT 내부망에 접속했지만, KT는 이상 접속을 탐지하지 못했다. 다수의 민원이 접수된 뒤에야 비정상 접속을 식별한 것으로 개인정보위는 파악했다.

이에 따라 개인정보위는 KT에 펨토셀 등 무선통신망 장비의 취약점을 점검하고 불법 접근을 막는 통제를 강화하라고 요구했다. 개인정보 보호책임자(CPO)의 책임과 역할을 명확히 한 재발 방지 대책을 3개월 내 마련해 보고하고, ISMS-P 인증 범위도 이동통신 네트워크 시스템까지 넓히도록 권고했다.

KT는 2024년 3월 악성코드 감염 사실을 신고하지 않고 자체 조치했으며, 이후 감염 서버 일부의 로그를 삭제하는 등 조사를 방해한 것으로 조사됐다. 거짓 자료를 제출했다가 진술을 바꾸고 보관 로그를 뒤늦게 낸 행위도 고발 대상에 포함됐다.

또한 LGU+는 개인정보위 조사 착수 전에 관련 서버 운영체제를 재설치하거나 서버를 폐기해 유출 경위와 추가 유출 여부 확인을 어렵게 한 것으로 조사됐다. 개인정보위는 이를 공무집행방해 행위로 보고 수사기관에 수사를 의뢰하기로 했다.

송경희 개인정보보호위원회 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다"고 강조했다.

개인정보위는 연내 조사 착수 전 증거 은닉·폐기도 처벌할 수 있도록 제도 개선을 추진한다. 은닉·폐기 때 전체 매출액의 3% 과징금을 부과하고, 조사 비협조나 시정명령 미이행에는 일 매출액의 0.3% 이행강제금을 물리는 방안이 담겼다.