[비즈니스포스트] 개인정보보호위원회가 불법 펨토셀을 통한 개인정보 유출 사고와 관련해 KT에 539억7900만 원의 과징금을 부과했다.

개인정보위는 29일 제15회 전체회의를 열고 개인정보보호법을 위반한 KT에 과징금과 시정명령, 개선권고, 공표 및 공표명령을 내리기로 의결했다고 30일 밝혔다.
 

조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속했다.

이후 이용자 단말이 불법 펨토셀을 거치도록 유도해 단말과 내부망 사이에서 송수신되는 정보를 가로챘다.

이 과정에서 알뜰폰 이용자를 포함한 KT 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다.

유출된 개인정보는 소액결제 인증에 필요한 자동응답전화(ARS)와 문자메시지(SMS)를 탈취하는 데 이용됐으며 368명에게서 약 2억4천만 원 규모의 무단 소액결제 피해가 발생했다.

개인정보위는 KT가 펨토셀 인증서의 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않은 데다 비인가 셀 아이디의 이상접속을 탐지·대응하는 체계도 마련하지 않았다고 판단했다.

해커는 2024년 10월8일부터 2025년 9월5일까지 약 11개월 동안 KT 내부망에 접속했지만 KT는 이상접속을 탐지하지 못한 것으로 조사됐다.

개인정보위는 무단 소액결제가 발생한 KT의 5G와 LTE 통신 매출을 기준으로 과징금을 산정했다. 인터넷TV와 인터넷통신 등 사고와 관련 없는 독립적 매출은 제외했다.

위반행위의 중대성과 피해 규모, 위반기간, 시정 여부와 피해 회복 노력 등도 최종 과징금 산정에 반영됐다.

개인정보위는 KT에 펨토셀 등 무선통신망 장비 전반의 취약점을 점검하고 통신망 내 개인정보에 대한 불법 접근통제를 강화하도록 시정명령했다.

개인정보 보호책임자(CPO)의 책임과 역할을 명확히 하는 거버넌스 체계를 포함한 재발방지 대책도 3개월 안에 마련해 보고하도록 했다.

KT가 일부 정보기술(IT)서비스를 대상으로 취득한 개인정보보호 관리체계(ISMS-P) 인증범위를 이동통신 네트워크 시스템까지 확대하도록 개선권고도 내렸다.

개인정보위는 별도로 KT가 2024년 3월 악성코드 감염 사실을 신고하지 않고 일부 서버 로그를 삭제한 데다 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 행위에 대해서는 고발하기로 했다.

송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”고 말했다.

KT는 개인정보위 처분 결과를 무겁게 받아들인다는 입장을 내놨다.

KT는 “지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”며 “개인정보 보호체계 전반을 원점에서 재정비하고 있다”고 밝혔다.

이어 “보안 투자를 확대하고 전사적 개인정보 보호역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 덧붙였다. 조승리 기자