11개월 뚫린 KT 내부망…개보위 "과징금 540억, 2차 피해·유출 규모 등 고려"

KT 이용자 1만6647명 정보 유출…368명, 2억4000만원 무단결제 피해

LTE·5G 무선통신 매출 반영…유출 규모·정보 유형 등에 '중대 위반' 판단

악성코드 감염 미신고·로그 삭제 정황…조사 방해 고발, 별도 처분 가능

양청삼 개인정보보호위원회 사무처장이 정부서울청사에서 KT와 LGU+ 개인정보 유출사고에 대한 조사 처분 결과에 대해 브리핑을 하고 있다 [사진=개인정보보호위원회]

개인정보보호위원회(이하 개인정보위)가 불법 초소형 기지국(펨토셀)을 통해 개인정보 유출과 무단 소액결제 사고가 발생한 KT에 과징금 약 540억원을 부과했다. 개인정보위는 실제 금전 피해를 무겁게 평가하면서도 유출 규모와 정보 유형, 피해 보상 및 시정조치 등을 종합해 과징금을 산정했다. 

개인정보위는 지난 29일 전체회의에서 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고를 내리기로 의결했다고 30일 밝혔다. 

조사 결과 KT는 펨토셀과 이동통신 핵심 네트워크에 대한 접근통제를 소홀히 해 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 유출했다. 이 가운데 368명에게 약 2억4000만원의 무단 소액결제 피해가 발생했다. 

양청삼 개인정보위 사무처장은 이날 브리핑에서 “이번 사건은 단순한 개인정보 유출에 그치지 않고 유출된 개인정보가 실제 금전 피해로 이어진 사례라는 점에서 심각성이 매우 크다”고 말했다. 

개인정보위에 따르면 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 불법 펨토셀에 심었다. 이후 별도의 인증절차 없이 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 KT 내부망에 접속해 이용자 개인정보를 유출했다.

해커는 이용자 단말이 불법 펨토셀을 거치도록 유도해 네트워크 송수신 정보를 가로채고 이를 별도로 확보한 개인정보와 결합해 소액결제를 시도한 뒤 결제 인증코드까지 탈취한 것으로 조사됐다. KT는 무단 소액결제 등 2차 피해로 관련 민원이 접수된 뒤에야 비정상 접속을 식별했다.

개인정보위는 이번 사고가 KT 이동통신 내부망에 대한 기본적인 접근통제와 관리 소홀에서 비롯됐다고 판단했다. KT는 인가된 펨토셀인지 확인할 수 있는 셀 ID를 관리하지 않아 미인가 장비의 우회 접속을 탐지하지 못했다는 설명이다. 내부망에 접속하는 펨토셀의 인터넷주소(IP)도 KT 대역 등으로 제한하지 않은 것으로 나타났다.

과징금 산정의 기초가 된 매출액은 KT의 LTE, 5G 무선통신 매출이 함께 반영됐다. 펨토셀은 LTE 기반 장비지만 5G 서비스도 일부 구간에서 LTE망을 같이 이용하기 때문이다. 

이번 과징금은 개인정보위가 앞서 SK텔레콤 개인정보 유출 사건에 부과한 약 1348억원의 40% 수준이다. 두 사건 모두 이동통신 관련 매출을 산정의 기초로 삼았지만 개인정보위가 판단한 위반행위의 중대성과 유출 규모, 정보 유형 등에서 차이가 났다.

개인정보위는 SK텔레콤 사건을 ‘매우 중대한 위반’으로 판단한 반면 KT 건은 한 단계 낮은 ‘중대한 위반’으로 분류했다. KT 사건에서 실제 무단 소액결제 피해가 발생한 점은 무겁게 평가됐지만 확인된 유출 인원이 상대적으로 적고 유출 정보도 휴대전화번호와 IMSI, IMEI 등 3종인 점이 함께 고려됐다. SK텔레콤 사건과 같은 가입자 인증정보 유출은 확인되지 않았다.

양 사무처장은 “2차 피해가 발생했다는 점은 매우 심각한 요소로 봤다”며 “상대적으로 작은 유출 규모와 정보 유형, 피해 보상과 시정조치 등을 종합적으로 고려했다”고 말했다.

한편 이번 과징금은 펨토셀을 통한 개인정보 유출과 무단 소액결제 사건에 한정된 처분으로, KT의 악성코드 감염 사건은 아직 결론이 나지 않은 상황이다.

개인정보위는 KT가 2024년 3월 서버의 악성코드 감염 사실을 인지하고도 정부에 침해 사실을 신고하지 않았고 개인정보 처리 서버에 대한 상세 분석도 진행하지 않은 정황을 확인했다. 개인정보위는 일부 서버의 로그 삭제와 거짓 자료 제출, 진술 번복 등을 조사 방해로 판단해 KT를 고발하기로 했다.

개인정보위는 수사를 통해 새로운 사실이 확인되면 악성코드 감염 사건에 대해 별도로 처분할 방침이다.