개인정보보호위원회가 불법 펨토셀을 통한 개인정보 유출 사고와 관련해 KT에 과징금 539억7900만원을 부과했다. 조사 과정에서 거짓 자료를 제출하고 관련 로그를 삭제한 행위에 대해서는 KT를 고발하기로 했다.
개인정보위는 지난 29일 제15회 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금과 시정명령, 개선권고, 공표명령을 의결했다고 30일 밝혔다.
개인정보위 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 자체 제작한 펨토셀에 이를 삽입해 KT 이동통신망에 접속했다. 펨토셀은 가정이나 사무실, 지하 등 이동통신 신호가 약한 지역의 통신 품질을 개선하기 위한 소형기지국이다.
해커는 이용자 단말이 불법 펨토셀을 경유하도록 유도해 단말과 내부망 사이의 송·수신 정보를 가로챘다. 이후 별도로 확보한 이름과 성별, 생년월일 등과 결합해 휴대전화 소액결제를 요청하고, 결제 인증코드가 포함된 자동응답전화(ARS)와 문자메시지(SMS)를 탈취했다.
이 과정에서 알뜰폰 이용자를 포함한 KT 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 무단 소액결제 피해자는 368명이며 피해액은 약 2억4000만원으로 조사됐다.
개인정보위는 KT의 펨토셀 접근통제 체계가 부실했다고 판단했다. KT는 펨토셀 인증서의 유효기간을 10년으로 설정했고 접속 인터넷주소(IP)도 제한하지 않았다. 펨토셀 관리서버를 우회하는 경로가 존재했으며, 코어망 접속 때 부여되는 셀 아이디(Cell ID)의 이상 접속을 탐지하는 체계도 갖추지 않은 것으로 나타났다.
해커는 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 KT 내부망에 접속했다. KT는 소액결제 피해와 관련 민원이 발생한 뒤에야 비정상 접속을 식별했다.
개인정보위는 KT에 펨토셀 등 무선통신망 장비의 취약점을 점검하고 불법 접근을 차단할 수 있는 대책을 3개월 안에 마련해 보고하도록 명령했다. 개인정보 보호책임자(CPO)의 책임과 역할을 명확히 하고 개인정보 보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크 시스템까지 확대하라고 권고했다.
개인정보위는 KT가 2024년 3월 서버 악성코드 감염 사실을 정부에 신고하지 않고 일부 로그를 삭제한 데 대해서도 고발을 의결했다.
아울러 조사 착수 전 관련 서버의 운영체제를 재설치하거나 서버를 폐기한 LG유플러스에 대해서도 수사기관에 수사를 의뢰한다고 밝혔다.
개인정보위는 증거 은닉·폐기에 대한 형사처벌과 과징금, 이행강제금, 자료보전명령 등을 도입하는 개인정보 보호법 개정을 추진할 방침이다.
송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”며 강조하면서, “사고 자료를 은폐·축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 앞으로 투명히 공개되도록 하겠다”고 말했다.
박진형 기자 jin@etnews.com
