개인정보위, KT에 540억원 과징금…불법 펨토셀 관리 부실

펨토셀 관리 부실로 1만6647명 개인정보 유출…368명 2억4000만원 결제 피해

KT, 악성코드 감염 미신고·로그 삭제·거짓 자료 제출로 고발

서버 폐기한 LG유플러스 수사 의뢰…증거 은닉·폐기 제재 강화 추진

광화문kt

개인정보보호위원회(이하 개인정보위)가 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과했다. 펨토셀 관리 부실로 개인정보가 유출되고 실제 소액결제 피해까지 발생한 데 따른 조치다.

개인정보위는 지난 29일 제15회 전체회의를 열고 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 처분 결과 공표를 의결했다고 30일 밝혔다. 조사 과정에서 거짓 자료를 제출하고 관련 로그를 삭제하는 등 조사를 방해한 행위에 대해서는 고발하기로 했다. 조사 착수 전 관련 서버를 폐기한 LG유플러스에 대해서도 수사기관에 수사를 의뢰한다.

개인정보위 조사 결과 해커는 유실된 KT 펨토셀의 인증서를 복제해 자체 제작한 펨토셀에 설치한 뒤 KT 이동통신망에 접속한 것으로 나타났다. 이후 이용자 단말과 내부망 사이에서 송수신되는 정보를 가로채 휴대전화 소액결제에 악용했다.

이 과정에서 KT 이용자 1만6647명의 휴대전화번호와 가입자식별번호, 단말기식별번호 등이 유출됐다. 이 가운데 368명에게서 약 2억4000만원의 무단 소액결제 피해가 발생한 것으로 확인됐다.

개인정보위는 KT가 내부망에 접속하는 펨토셀의 인증서 유효기간을 10년으로 설정하고 접속 IP를 제한하지 않는 등 기본적인 접근통제 관리를 소홀히 했다고 판단했다. 비인가 펨토셀의 접속을 탐지·차단하는 체계도 제대로 갖추지 않아 해커가 약 11개월 동안 KT 내부망에 접속했지만 이를 파악하지 못한 것으로 조사됐다.

KT가 별도의 악성코드 감염 사고를 인지하고도 정부에 신고하지 않고 개인정보 유출 여부를 제대로 분석하지 않은 사실도 확인됐다. 이후 일부 서버 로그를 삭제하고 개인정보위 조사 과정에서 관련 자료가 없다고 거짓 진술했다가 뒤늦게 자료를 제출하는 등 조사를 방해한 정황도 드러났다.

개인정보위는 KT에 펨토셀을 비롯한 무선통신망 장비의 취약점 점검과 불법 접근 차단 등 안전조치를 강화하고 개인정보보호책임자의 역할과 책임을 명확히 하도록 시정명령했다. 개인정보보호 관리체계 인증 범위도 이동통신 네트워크 시스템까지 확대하도록 개선을 권고했다.

아울러 조사 착수 전 개인정보 유출 관련 증거를 은닉하거나 폐기하는 행위도 처벌할 수 있도록 개인정보 보호법 개정을 추진한다. 증거 은닉·폐기 시 전체 매출액의 3%에 해당하는 과징금을 부과하고 조사 비협조나 시정명령 미이행 시 일 매출액의 0.3%를 이행강제금으로 부과하는 방안도 마련할 계획이다.

한편 LG유플러스는 임직원과 협력사 직원의 개인정보가 외부에 유출된 정황이 확인됐지만 개인정보위 조사 착수 전 관련 서버의 운영체제를 재설치하거나 서버를 폐기한 것으로 나타났다. 개인정보위는 이로 인해 정확한 유출 경위와 추가 피해 여부를 확인하기 어려워졌다며 공무집행방해 혐의로 수사를 의뢰하기로 했다.

송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 강화하는 계기가 돼야 한다”며 “사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하겠다”고 말했다.