개인정보 유출 KT '과징금 540억'.. 증거인멸 의혹 U+ '경찰수사 의뢰'

개보위 조사 결과 발표
연내 증거은닉 처벌규정 마련
포상금 만들어 내부고발 유인

KT가 초소형 기지국인 '펨토셀'을 부실하게 운영해 고객 1만 6000여명의 개인정보를 유출한 책임으로 539억원의 과징금을 부과받고, 조사 방해 혐의로 고발됐다. 개인정보 유출 정황이 확인된 LG유플러스는 조사 전 서버를 폐기하는 등 증거인멸 혐의로 경찰의 정식 수사를 받게 됐다. 개인정보보호위원회는 지난 29일 전체회의를 열어 개인정보보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다.

■KT, 통신망 관리 부실… 11개월간 해킹 몰라

개인정보보호위 조사 결과 해커들은 유실된 KT 펨토셀에서 인증서를 복사해 불법 펨토셀에 심은 뒤 KT 핵심 이동통신망에 접속해 KT 가입자 1만6647명의 이동전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 가로챘다.

해커들은 이 정보를 이용해 특히 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제를 했다. 개인정보보호위는 과징금 처벌과 별도로 △펨토셀 등 무선통신망 장비 취약점 점검 △개인정보 보호책임자(CPO)의 책임·역할 명확화 등 대책을 수립해 3개월 내에 보고하도록 시정명령했다.

■조사방해·증거인멸이 유리한 체계 바꾼다

개보위 조사 결과 KT는 지난 2024년 3월 악성코드에 감염된 것을 알고도 정부에 신고하지 않고 자체 조치로 마무리했다. 특히 정부의 조사 과정에서 일부 서버의 로그를 삭제하는 등 조사 방해 사실도 확인됐다.

해킹 정황이 있었던 LG유플러스는 정부의 조사가 시작되기 전 서버 등의 운영체제(OS)를 재설치하고 일부 서버는 폐기했다고 개보위는 설명했다. 결국 개보위는 KT와 LG유플러스의 개인정보 유출 건을 전체적으로 파악하지 못하고, 확인된 건에 대해서만 과징금 처벌을 내리게 됐다.

개인정보보호위는 KT를 조사방해 혐의로 고발하고, LG유플러스에 대해서는 수사기관에 공식 수사를 의뢰했다. 개보위는 조사 방해를 막기 위한 제도 개선도 추진하기로 했다. 올해안에 개인정보보호법을 개정해 조사 착수 전 증거 은닉·폐기에 대한 형사처벌 규정을 마련하고, 증거 은닉·폐기 시 전체 매출액의 3% 과징금 부과하는 한편 증거 은닉에 대한 신고포상금을 신설해 내부 고발을 유인한다는 방침이다.

이에 대해 KT는 "처분 결과를 무겁게 받아들이며, 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"며 "보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 입장을 밝혔다. LG유플러스 역시 "이미 동일한 사항에 대해 경찰수사가 진행중이며 경찰수사에 성실히 임하고 있다"며 "앞으로도 경찰 수사에 성실히 임하겠다"고 밝혔다.

[email protected] 이구순 기자