정부가 펨토셀(초소형 기지국) 관리 소홀로 인해 가입자 1만6000여명의 개인정보가 유출되고 2억4000만원 규모 무단 소액결제 피해가 발생한 KT에 약 540억원의 과징금을 부과했다. 조사 과정에서 드러난 KT의 로그(기록) 삭제와 거짓진술 등 조사 방해 행위에 대해선 고발 조치했다.
개인정보보호위원회는 지난 29일 전체회의를 열어 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령 등을 의결했다고 30일 밝혔다.
조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 직접 만든 불법 펨토셀에 심어 KT 이동통신망에 접속한 것으로 나타났다. 이를 통해 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 몰래 빼돌렸다. 해커는 이 정보와 미리 확보한 개인정보를 결합해 소액결제를 신청하고, 결제 인증문자와 자동응답전화(ARS)까지 중간에서 탈취하는 방식으로 범행을 저질렀다.
개인정보위는 이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 개인정보가 유출된 것으로 산정했다. 무단 소액결제 피해자는 368명, 피해 금액은 약 2억4000만원으로 집계됐다.
이번 사고의 원인은 KT의 허술한 기지국 관리와 내부망 보안 부실이었다.
KT는 펨토셀 인증서의 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않아 타사나 해외 IP를 통한 접속도 가능하도록 운영했다. 펨토셀 관리서버를 우회하는 경로가 존재했고, 비인가 셀 아이디의 이상 접속을 탐지∙대응하는 체계도 갖추지 않았다.
이에 해커는 별도 인증 절차 없이 2024년 10월 8일부터 지난해 9월 5일까지 약 11개월간 KT 내부망에 접속했지만, KT는 소액결제 피해 민원이 발생한 뒤에야 비정상 접속 사실을 파악했다.
개인정보위는 KT에 과징금을 부과하고 무선통신망 장비의 보안 강화와 개인정보 보호 거버넌스 정비를 명령했다. 또 개인정보보호 관리체계 인증(ISMS-P) 범위를 이동통신 네트워크 시스템까지 확대하도록 개선 권고했다.
양청삼 개인정보위 사무처장은 브리핑에서 “2차 피해가 있다는 점에 대해서는 매우 심각한 요소로 봤다”면서도 “(SK텔레콤과 비교해) 확인된 유출 규모 자체가 상대적으로 소규모였고, 유출 정보 자체가 IMSI 등 3종에 불과했던 점, 피해보상과 시정조치에 신속하게 협조한 점 등을 감안했다”고 설명했다.
개인정보위는 이번 사건을 조사하던 중 과거 KT 내부 서버가 악성코드에 감염됐던 사실도 추가로 밝혀냈다.
KT는 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통해 해커가 침투해 38대의 서버가 BPF도어 등 다수의 악성코드에 감염된 사실을 인지하고도 정부에 신고하지 않고 자체 조치했다.
해커가 로밍렌탈서비스 관리자 페이지를 공격해 KT 임직원과 협력사 일부 직원의 이름, 전화번호, 계정 등을 조회·유출한 정황도 파악됐다. 다만 사고 당시 네트워크 로그가 남아 있지 않아 감염 서버에서 처리한 이용자 개인정보의 추가 유출 여부는 확인되지 않았다.
KT는 지난해 4월 SK텔레콤 개인정보 유출 사고를 계기로 서버를 전수 점검하는 과정에서 침해 서버 10대의 로그를 삭제하기도 했다. KT는 조사 초기에 보존 자료가 없다고 진술했다가 디지털 포렌식으로 로그 삭제 정황이 확인되자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출했다.
개인정보위는 이러한 행위가 조사 과정에서의 거짓 자료 제출과 조사 방해에 해당한다고 보고 KT를 수사기관에 고발하기로 했다. 특히 악성코드 감염 건은 아직 조사가 완료되지 않은 만큼 고발 이후 추가적인 사실관계 확인을 이어갈 예정이다.
아울러 개인정보 유출 의혹에 대한 개인정보위 조사를 앞두고 증거를 은닉·폐기한 혐의를 받는 LG유플러스에 대해선 공무집행방해 행위로 판단해 수사기관에 수사를 의뢰하기로 했다.
개인정보위는 증거 은닉·폐기가 조사 착수 전에 이뤄져 개인정보보호법상 조사방해 규정을 적용할 수는 없지만, 공무집행방해에 해당한다고 판단해 수사를 의뢰했다고 설명했다.
이에 개인정보위는 제도 개선을 통해 조사 착수 전 증거를 은닉·폐기한 경우 형사처벌하거나 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 하고, 신고포상금 제도를 도입할 계획이다. 조사 비협조나 시정명령 미이행 사업자에 대해서는 하루 매출액의 0.3%를 이행강제금으로 부과하고, 침해사고 발생 시 자료보전명령을 내릴 수 있도록 개인정보보호법 개정도 추진한다.
KT는 이날 입장문에서 “처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”고 밝혔다.
개인정보위 결정에 불복해 법적 대응에 나설지 여부에 대해서는 “의결서를 수령하는 대로 그 내용을 면밀히 검토한 후 관련 입장을 정할 예정”이라고 언급했다.
LG유플러스는 “이미 동일한 사안에 대해 경찰 수사가 진행 중이며 앞으로도 수사에 성실히 임하겠다”고 전했다.
이화연 기자 hylee@segye.com
