IT 보안/해킹

개인정보 유출-조사방해 KT, 539억 과징금에 고발까지(종합)

이구순 기자

파이낸셜뉴스

개인정보보호위 전체회의 의결
"KT, 불법 펨토셀 핵심망 접속 관리 소홀"
"2.4억 부당결제로 금전적 피해까지 이어진 심각한 사고"
"서버 폐기 등 증거 인멸한 LG유플러스는 수사 의뢰"

[파이낸셜뉴스] 불법 초소형기지국(펨토셀)이 이동통신 핵심 네트워크에 접속하도록 방치하고, 이를 통해 가입자들의 이동전화번호가 유출된 것은 물론 부당 휴대폰 소액결제로 금전적 피해까지 야기한 KT가 539억원의 과징금 처벌을 받았다. 악성코드 감염 사실을 신고하지 않고 오히려 로그를 삭제하는 등 정부의 조사를 방해한 혐의로 고발까지 당했다.

LG유플러스는 악성코드 감염으로 가입자 개인정보 유출 정황이 확인됐지만, 정부 조사 전에 서버를 폐기하는 등 증거를 인멸해 수사기관의 정식 수사를 받게 됐다.

개인정보보호위원회는 지난 29일 전체회의를 열어 개인정보보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다.

KT, 통신망 관리 부실...11개월간 해킹 몰라

개인정보보호위 조사 결과 해커들은 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 불법 펨토셀에 심은 뒤 KT 핵심 이동통신망에 접속해 알뜰폰 가입자를 포함한 KT 가입자 1만6647명의 이동전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 가로챘다.

불법 초소형기지국(펨토셀)이 이동통신 핵심 네트워크에 접속하도록 방치하고, 이를 통해 가입자들의 이동전화번호가 유출된 것은 물론 부당 휴대폰 소액결제로 금전적 피해까지 야기한 KT가 539억원의 과징금 처벌을 받았다. 악성코드 감염 사실을 신고하지 않고 오히려 로그를 삭제하는 등 정부의 조사를 방해한 혐의로 고발까지 당했다.LG유플러스는 악성코드 감염으로 가입자 개인정보 유출 정황이 확인됐지만, 정부 조사 전에 서버를 폐기하는 등 증거를 인멸해 수사기관의 정식 수사를 받게 됐다. (출처=연합뉴스)

특히 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제를 했다. 개인정보보호위는 "KT의 개인정보 유출사고는 통신회사의 개인정보 유출이 실제 금전피해로 이어진 심각한 사안"이라고 지적했다.

개인정보보호위는 "해커들의 불법 펨토셀이 2024년 10월 8일부터 2025년 9월 5일까지 11개월간 별도 인증절차 없이 KT 내부망에 접속해 개인정보를 빼갔지만, KT는 이상접속을 탐지하지 못할 만큼 통신망 관리가 부실했다"며 "소액결제 등 2차 피해 민원이 여럿 접수된 뒤에야 비정상 접속을 알아차릴 정도였다"고 KT의 통신망 관리 책임을 지적했다.

이에따라 개인정보보호위는 과징금 처벌과 별도로 △펨토셀 등 무선통신망 장비 취약점 점검 △개인정보 보호책임자(CPO)의 책임·역할 명확화 등 대책을 수립해 3개월 내에 보고하도록 시정명령했다.

조사방해·증거인멸이 유리한 체계 바꾼다

지난해 4월 SK텔레콤은 해킹으로 2300여만명 가입자의 개인정보가 유출됐다고 정부에 신고하고, 올해 1347억9100만원의 과징금 처벌을 받았다. 이 사고 이후 정부가 통신사들의 서버를 전수조사하는 과정에서, KT가 2024년 3월 악성코드에 감염된 것을 알고도 정부에 신고하지 않고,개인정보 유출 여부에 대한 분석 없이 자체 조치로 마무리한 사실이 드러났다. 특히 정부의 전수조사 과정에서 악성코드에 감염된 일부 서버의 로그를 삭제하는 등 조사를 방해한 사실도 확인됐다.

양청삼 개인정보보호위원회 사무처장이 30일 오전 서울 종로구 정부서울청사에서 개인정보보호법규 위반 사업자 시정조치에 관한 건(KT 과징금) 등 전체회의 결과를 발표하고 있다. 개인정보위는 KT의 불법 펨토셀을 통한 개인정보 유출에 대해 안전조치 의무 위반으로 과징금 539억 7900만원을 부과한다고 밝혔다. /사진=뉴시스화상

LG유플러스는 정부의 전수 조사가 시작되기 전 서버 등의 운영체제(OS)를 재설치하고 일부 서버는 폐기하는 등 아예 증거를 인멸한 사실도 드러났다. 결국 개인정보보호위는 KT와 LG유플러스의 개인정보 유출 건을 전체적으로 파악하지 못하고, 확인된 건에 대해서만 과징금 처벌을 내리게 됐다.

이 때문에 기업들 사이에서는 "정직하게 개인정보보호위에 신고하고 처벌받는 것보다 증거를 인멸하는 등 조사를 방해하는 편이 회사에 유리하다"는 잘못된 인식이 생기기도 했다.

이에 대해 개인정보보호위는 KT를 고발하는 한편 LG유플러스에 대해서는 수사기관의 공식 수사를 의뢰했다.

또 조사 방해를 막기 위한 제도 개선도 추진하기로 했다. 올해안에 개인정보보호법을 개정해 조사 착수 전 증거은닉·폐기에 대한 형사처벌 규정을 마련하고, 증거 은닉·폐기 시 전체 매출액의 3% 과징금 부과하는 한편 증거은닉에 대한 신고포상금을 신설해 내부 고발을 유인한다는 방침이다.

KT·LG유플 "고개숙여 사과...고객신뢰 확보에 총력"

개인정보보호위의 의결에 대해 KT는 "처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"며 "개인정보보호 보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 입장을 밝혔다.

LG유플러스 역시 "이미 동일한 사항에 대해 경찰수사가 진행중이며 경찰수사에 성실히 임하고 있다"며 "앞으로도 경찰 수사에 성실히 임하겠다"고 밝혔다.

[email protected] 이구순 기자

#kt #개인정보 유출 #과징금