[더게이트]

개인정보보호위원회가 불법 소형기지국(펨토셀)을 통한 개인정보 유출과 무단 소액결제 피해를 발생시킨 KT에 540억원에 달하는 과징금을 부과하고 검찰에 고발하기로 결정했다.

개인정보위는 위반 행위의 중대성을 감안해 무선통신 매출을 기준으로 과징금을 산정하는 한편, 침해 사실 은폐 및 로그 삭제 등 조사를 방해한 혐의에 대해 고발 조치를 단행했다고 30일 밝혔다.

개인정보위에 따르면 해커는 유실된 KT 펨토셀에서 추출한 인증서를 복사해 자체 제작한 불법 펨토셀에 심은 뒤 KT 이동통신망에 무단 접속했다. 이후 단말과 내부망 사이의 통신 정보를 가로채고 추가 확보한 개인정보와 결합해 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 소액결제를 시도했다.

이 과정에서 알뜰폰 가입자를 포함한 KT 이용자 1만6647명의 휴대전화번호, 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 해커는 이를 활용해 총 368명을 대상으로 2억4000만원 상당의 무단 소액결제 피해를 입혔다. 당초 KT가 신고한 유출 인원은 2만2227명이었으나, 법인 및 다중회선 등 중복을 제외한 실제 정보주체 규모는 1만6647명으로 산정됐다.

조사 결과 KT는 펨토셀 인증서 유효기간을 10년으로 길게 설정하고 타사나 해외 IP 접속 제한을 두지 않는 등 기본적인 접근통제를 소홀히 했다. 또한 코어망 접속 식별자인 ‘셀 아이디(Cell ID)’ 관리 체계가 부재해 해커가 2024년 10월부터 약 11개월간 내부망에 접속했음에도 피해 민원이 접수된 후에야 이를 파악했다.

개인정보위는 이번 사건을 2차 피해가 발생한 중대한 위반으로 판단했다. 양청삼 개인정보위 사무처장은 브리핑에서 “2차 금전 피해가 발생했다는 점을 심각하게 봤다”면서도 “확인된 유출 규모와 정보 종수가 상대적으로 소규모였고 피해보상과 시정조치에 신속하게 협조한 점을 감안해 무선통신(LTE·5G) 매출을 기준으로 과징금을 산정했다”고 설명했다.

KT의 별도 악성코드 감염 및 은폐 정황도 드러났다. KT는 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통해 38대 서버가 악성코드에 감염되고 임직원 정보가 유출된 사실을 인지하고도 정부에 신고하지 않았다.

이후 조사 과정에서 침해 서버 10대의 로그를 삭제하고 거짓 진술을 하는 등 조사를 조직적으로 방해한 사실이 적발돼 고발 조치됐다. 해당 악성코드 감염 건은 조사가 완료되지 않아 향후 추가 조사가 이어질 예정이다.

이밖에 개인정보위는 미국 보안 매체를 통해 개인정보 유출 정황이 확인된 LG유플러스에 대해서도 수사기관에 수사를 의뢰했다. LG유플러스는 조사 착수 전 통합 비밀번호 관리시스템(APPM) 등 관련 서버의 운영체제(OS)를 재설치하거나 서버를 폐기해 정확한 경위 확인을 어렵게 한 점이 공무집행방해 혐의로 판단됐다.

개인정보위는 이번 사건을 계기로 조사 착수 전 증거 은닉·폐기 행위에 대한 형사처벌 규정을 신설하고, 전체 매출액의 최대 3% 과징금 부과 및 일 매출액 0.3% 수준의 이행강제금 도입 등 조사 실효성을 높이기 위한 개인정보보호법 개정을 추진할 방침이다.

송경희 개인정보위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”며 “특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다”고 강조했다.