개인정보보호위원회는 지난 29일 전체회의를 열어 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과하고, 시정명령과 개선권고, 공표명령 등을 의결했다고 30일 밝혔다.
이번 제재는 KT의 펨토셀(Femtocell) 보안 체계가 뚫리며 발생했다. 펨토셀은 가정이나 사무실 등 실내에 설치하는 초소형 이동통신 기지국이다.
KT는 펨토셀 인증서 유효기간을 10년으로 설정했다. 여기에 인터넷주소(IP)를 제한하지 않아 타사나 해외에서 접속이 가능한 상태로 운영됐던 것이다.
펨토셀이 코어망에 접속할 때 부여되는 식별자인 셀 아이디(Cell ID) 관리도 미흡했던 것으로 조사됐다. KT는 비인가 셀 아이디의 이상 접속을 탐지하거나 차단하는 체계를 갖추지 않았다.
해커는 이를 이용해 2024년 10월 8일부터 지난해 9월 5일까지 약 11개월간 KT 내부망에 접근했고, KT는 소액결제 피해 민원이 접수된 뒤 이를 파악했다.
이 과정에서 알뜰폰 가입자 포함 이용자 1만6647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기 식별번호(IMEI) 등이 유출됐다. 또 368명이 총 약 2억4000만원 규모의 무단 소액결제 피해를 입었다.
개인정보위는 KT의 위반 행위를 ‘중대한 위반’으로 판단하고 장비 보안 강화와 개인정보 보호 관리체계 정비 등을 명령했다.
양청삼 개인정보위 사무처장은 “2차 피해가 발생한 점은 매우 심각한 요소로 봤다”며 “SK텔레콤과 비교해 유출 규모 자체는 상대적으로 작았고, 유출 정보도 IMSI 등 3종에 그쳤다”고 설명했다. 이어 “피해 보상과 시정조치에 신속하게 협조한 점 등을 감안했다”고 말했다.
양 사무처장은 “과징금 산정 기준인 관련 매출은 무선통신 매출을 기본으로 잡았다”며 “LTE와 5G 매출을 종합적으로 반영했다”고 덧붙였다.
지난해 SK텔레콤은 유심 정보 해킹으로 약 2324만명의 개인정보가 유출돼 1348억원의 과징금을 부과받았다. 쿠팡 역시 3755만명의 개인정보 유출과 1117명의 온라인 활동기록 무단수집으로 과징금 6246억원이 부과됐다.
KT의 제재 강도는 유출 인원 대비 과징금을 단순 계산했을 때 상대적으로 높다. KT는 유출자 1명당 약 324만원 수준이고, SK텔레콤과 쿠팡은 각각 약 5800원과 1만6600원이다.
개인정보위는 KT가 조사 과정에서 자료 제출을 지연하는 등 조사 방해 행위도 있었다고 판단해 별도 고발하기로 했다.
KT는 지난해 4월 악성코드 감염 여부를 확인하기 위해 전수 점검을 진행하는 과정에서 침해 서버 10대의 로그를 삭제했다. 이후 조사에서 보존 자료가 없다고 진술했지만, 로그 삭제 정황이 확인되자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출한 것으로 조사됐다.
개인정보위는 이번 사건을 계기로 제도를 개선할 방침이다. 조사 착수 전 증거를 은닉하거나 폐기한 경우 형사처벌하거나 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 한다. 신고포상금 제도 또한 도입할 계획이다.
또 조사에 비협조하거나 시정명령을 이행하지 않는 사업자에 대해서는 하루 매출액의 0.3%를 이행강제금으로 부과하고, 침해사고 발생 시 자료 보전명령을 내릴 수 있도록 추진한다.
오승주 인턴기자 seungjuoh@hankyung.com
© 한경매거진&북, 무단전재 및 재배포 금지