[아이뉴스24 안세준 기자] 개인정보보호위원회(위원장 송경희)가 불법 펨토셀을 통한 개인정보 유출 사고와 관련해 KT에 과징금 539억7900만원을 부과했다. 지난해 9월 10일 개인정보위가 KT의 개인정보 유출가능성을 인지하고 조사에 착수한 지 320여일 만이다. 조사 과정에서 거짓자료 제출 등으로 조사를 방해한 KT의 행위에 대해서는 고발하기로 했다.
개인정보위는 지난 29일 제15회 전체회의를 열고 개인정보보호법상 안전조치 의무를 위반한 KT에 과징금과 시정명령, 개선권고 및 공표명령을 의결했다고 30일 밝혔다.
해커, 펨토셀서 인증서 빼낸 뒤 KT망 접속⋯5G·LTE 이동통신 매출 기준 과징금 산정
조사 결과, 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 자체 제작한 장비에 이를 복제해 KT 이동통신망에 접속했다. 이용자 단말이 불법 펨토셀을 거치도록 유도해 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등을 가로챘다.
펨토셀은 KT가 2016년 11월부터 무선통신 신호가 약한 음영지역 해소를 위해 도입·운영한 소형기지국이다. KT 인터넷을 사용하는 가입자를 대상으로 KT 설치기사가 직접 설치해왔다. 이용자에게 판매되지 않는 KT 자산이다.
해커는 유출 정보와 별도로 확보한 이름, 성별, 생년월일 등을 결합해 휴대전화 소액결제를 요청한 뒤 인증번호가 포함된 문자메시지(SMS)와 자동응답전화(ARS)를 탈취했다.
이를 통해 368명에게 약 2억4000만원의 무단 소액결제 피해 또한 발생한 것으로 조사됐다. 당초 과학기술정보통신부 민관합동조사단이 발표한 유출 규모는 2만2227명이었다. 다만 개인정보위는 법인과 다중회선 등 중복을 제외한 1만6647명으로 집계했다.
개인정보위는 과징금 539억7900만원과 관련해 "KT의 5G·LTE 이동통신 매출을 기준으로 과징금을 산정했다"고 설명했다. IPTV와 초고속인터넷 등 사고와 직접 관련 없는 매출은 제외했다.
인증서 유효기간 10년…해외 IP 접속도 허용
이동통신망 접속 승인과 인증체계, 내부망 보안통제도 KT가 담당한다.
그러나 KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP를 제한하지 않아 다른 통신사나 해외 IP에서도 내부망에 접근할 수 있도록 했다. 관리서버를 거치지 않는 우회 경로도 존재했다. 비인가 장비의 이상 접속을 탐지·차단하는 체계도 갖추지 않았다는 게 개인정보위 측 설명이다.
해커는 이를 이용해 2024년 10월8일부터 2025년 9월5일까지 약 11개월간 KT 내부망에 접속했다. KT는 무단 소액결제 관련 민원이 접수된 뒤에야 비정상 접속을 파악했다고 한다.
KT는 전례 없는 신유형 공격으로 예측과 대응이 어려웠다고 주장했다. 개인정보위는 펨토셀 해킹 위험이 해외와 학계에서 지속적으로 제기돼온 데다 기본적인 접근통제 조치를 했다면 예방할 수 있었다고 판단했다.
KT에는 펨토셀 등 무선통신망 장비의 취약점을 점검하고 개인정보 불법 접근 차단 조치를 강화하라는 시정명령도 내려졌다. 개인정보 보호책임자(CPO)의 역할을 명확히 하는 거버넌스 개선안을 3개월 안에 마련해야 한다. 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크 시스템으로 확대하라는 개선권고도 받았다.
악성코드 감염 은폐한 KT 경찰 고발…LGU+ 수사의뢰
개인정보위는 조사 과정에서 KT 서버 38대가 2024년 3월 악성코드에 감염된 사실도 확인했다. KT는 이를 인지하고도 정부에 신고하지 않았다. 2025년 서버 전수점검 과정에서 침해 서버 일부의 로그를 삭제한 것으로 조사됐다.
KT는 개인정보위 조사 초기에 보존 자료가 없다고 진술했다가 디지털포렌식으로 로그 삭제 정황이 드러난 뒤 별도로 보관하던 자료를 제출했다. 개인정보위는 거짓 자료 제출과 진술 번복 등으로 조사를 방해했다고 보고 KT를 경찰에 고발하기로 했다.
LG유플러스도 물망에 올랐다. 개인정보위에 따르면 LG유플러스는 개인정보위 조사 착수 전 개인정보 유출 의혹과 관련된 서버의 운영체제를 재설치하거나 서버를 폐기했다. 개인정보위는 정확한 유출 경위와 추가 유출 여부를 확인하기 어렵게 한 행위가 공무집행방해에 해당할 수 있다고 보고 수사기관에 수사를 의뢰했다.
개인정보위는 조사 착수 전 증거 은닉·폐기 행위에도 형사처벌과 전체 매출액의 최대 3% 과징금을 부과할 수 있도록 개인정보보호법 개정을 추진할 계획이다.
송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다"고 말했다.
그러면서 "특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 덧붙였다.
/안세준 기자(nocount-jun@inews24.com)