개인정보위, ‘중대한 위반’ 판단…은폐·조사방해 확인 검찰 고발
1만6647명 개인정보 유출, 총 2억4000만원 무단 결제 피해 발생
양청삼 개인정보보호위원회 사무처장이 30일 정부서울청사에서 KT에 과징금 539억7900만원을 부과한다고 발표하고 있다. 연합뉴스
KT가 보안 관리를 허술하게 해 1만6000여명의 개인정보를 유출한 혐의로 과징금 약 540억원을 물게 됐다. 소액결제로 2차 피해가 발생했다는 점이 반영된 액수다. 또 과거 서버가 악성코드에 감염된 사실을 알리지 않는 등 개인정보보호위원회의 조사를 방해한 혐의로 검찰 수사도 받게 됐다.
개인정보위는 전날 전체회의를 열고 개인정보보호법 위반 혐의를 받는 KT에 과징금 539억7900만원을 부과했다고 30일 밝혔다. 또 거짓자료 제출 등 조사 방해 혐의로 KT 법인을 고발하기로 했다.
개인정보위 조사 결과, KT는 펨토셀을 통한 이동통신 핵심 네트워크·시스템 접근통제 관리 소홀로 1만6647명의 개인정보를 유출했다. 펨토셀은 2016년 11월 무선통신 신호가 약한 음영지역을 해소하기 위해 도입한 소형기지국으로, KT가 실질적 운영 주체다.
해킹된 개인정보에는 휴대전화번호, 국제모바일가입자식별번호(IMSI) 등이 포함됐다. 문자메시지(SMS)와 자동응답전화 인증 정보도 유출됐다. 해커가 탈취한 개인정보를 결합해 무단결제하면서 368명에게 총 2억4000만원의 소액결제 피해가 발생한 것으로 조사됐다.
해커는 유실된 KT 펨토셀에서 인증서를 복사해 자체 제작한 펨토셀에 삽입했다. 이어 2024년 10월부터 별도의 인증 절차 없이 11개월간 KT 내부망에 접속했다. KT는 무단접속을 탐지하지 못하다가 소액결제 등 2차 피해가 나타나 민원이 제기되고 나서야 해킹 사실을 파악했다.
개인정보위는 해킹의 근본 원인이 KT의 부실한 보안 관리라고 봤다. 인가받지 않은 펨토셀도 KT 내부망에 쉽게 접속할 수 있었다. 내부망에 접속하는 펨토셀에 대한 접속 아이피(IP) 제한도 이뤄지지 않았다. 비인가 셀 아이디(Cell ID)의 이상접속 행위에 대한 탐지 체계도 전무했다.
개인정보위는 KT 위반 행위 정도를 ‘중대한 위반’으로 판단했다. 양청삼 개인정보위 사무처장은 “2차 피해가 있다는 점에 대해 심각하게 봤다”면서 “다만 유출 규모 자체가 상대적으로 소규모였고, 유출 정보가 3종에 불과했던 점 등을 감안했다”고 말했다.
정보기술(IT) 네트워크 서비스 내 서버가 악성코드에 감염됐음에도 KT가 이를 당국에 알리지 않은 것 역시 제재 대상이다. 해커는 2024년 3월 KT 로밍렌털 서비스 홈페이지 내 취약점을 이용해 서버를 감염시키고, KT 임직원 및 협력사 일부 직원 개인정보를 유출했다. 그러나 KT는 개인정보 유출 여부를 정부에 알리지 않고 자체 조사해 종결했다. 당시 네트워크 로그가 남아 있지 않아 개인정보의 추가 유출 여부가 확인되지는 않았다.
특히 지난해 4월 정부의 악성코드 감염 전수 점검에 KT는 과거 문제가 발생했던 서버의 일부 로그를 삭제하는 등 증거를 은폐한 정황도 확인됐다.
향후 개인정보위는 조사 착수 전 증거를 은닉·폐기한 경우 형사처벌하거나 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 제도를 개선해 조사 실효성을 높일 계획이다.
송경희 개인정보위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”며 “특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하겠다”고 말했다.
KT는 이날 입장문에서 “향후 보안 투자를 확대하고, 전사적으로 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 힘쓰겠다”고 밝혔다.
영문번역(English Translation)
댓글
0