개보위, '안전조치의무 위반' 개인정보 유출 KT에 과징금 539억… 악성코드감염 신고 않고 삭제는 '고발'

|스마트투데이=최아랑 기자| KT가 지난해 발생한 초소형 기지국 펨토셀을 통한 개인정보 유출과 무단 소액결제 사고 책임에 540억원에 가까운 과징금을 물게 됐다. 과거 악성코드 감염 사실을 신고하지 않고 관련 로그를 삭제한 행위에 대해서는 수사기관에 고발된다.

30일 개인정보보호위원회는 전날 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원과 시정명령, 개선권고, 공표명령을 의결했다고 밝혔다.

조사 결과, 해커는 유실된 KT 펨토셀에서 인증서를 추출해 자체 제작한 불법 펨토셀에 복제한 뒤 KT 이동통신망에 접속했다. 이후 이용자 단말기가 해당 장비를 거치도록 유도해 단말기와 내부망 사이에서 오가는 통신 정보를 가로챘다.

해커는 이렇게 확보한 정보에 이름과 생년월일 등 별도로 수집한 개인정보를 결합해 소액결제를 시도했다. 결제 과정에서 전송되는 문자메시지(SMS)와 자동응답시스템(ARS) 인증 정보도 탈취한 것으로 조사됐다.

이 과정에서 KT와 KT망 알뜰폰 이용자 1만6647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 이 가운데 368명은 약 2억4000만원의 무단 소액결제 피해를 봤다.

유출 인원은 KT가 당초 신고한 2만2227건 가운데 법인 명의와 다중 회선 등 중복 항목을 제외한 실제 정보주체 수다.

개인정보위는 이번 사고의 원인으로 KT의 펨토셀과 내부망 관리 부실을 지목했다. KT는 펨토셀 인증서의 유효기간을 10년으로 설정했고, 접속 인터넷주소(IP)도 제한하지 않아 다른 통신사나 해외 IP에서도 내부망에 접근할 수 있도록 운영했다.

펨토셀 관리서버를 거치지 않고 코어망에 접속할 수 있는 우회 경로도 존재했다. 장비에 부여되는 셀 아이디 관리가 제대로 이뤄지지 않았고, 비인가 장비의 이상 접속을 탐지하거나 차단하는 체계도 갖추지 않았다.

이에 따라 해커는 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 KT 내부망에 접속했다. KT는 소액결제 피해 민원이 발생한 뒤에야 비정상 접속 사실을 파악했다.

과징금은 사고와 관련된 KT의 5세대 이동통신(5G)과 롱텀에볼루션(LTE) 매출을 기준으로 산정됐다. 인터넷TV(IPTV)와 유선 인터넷 등 사고와 관련이 없는 매출은 제외됐다.

개인정보위는 기업의 개인정보 유출 사고 시 안전조치 의무 위반이 확인될 경우에는 전체 매출액의 3%를 초과하지 않는 범위에서 위반행위와 관련없는 매출액을 제외한 매출액을 기준으로 과징금 수위를 결정한다. 여기에 법 위반행위의 중대성, 정보주체의 피해 규모·영향, 조사협조 및 시정완료 여부 등의 요소를 고려한 가중·감경을 거쳐 과징금 규모를 최종 산정한다.

양청삼 개인정보위 사무처장은 이날 정부서울청사에서 열린 브리핑에서 “2차 피해가 있다는 점에 대해서는 매우 심각한 요소로 봤다”면서도 “(SK텔레콤)과 비교해 확인된 유출 규모 자체가 상대적으로 소규모였고, 유출 정보가 IMSI 등 3종에 불과했던 점과 피해 보상·시정조치에 신속하게 협조한 점 등을 감안했다”고 설명했다.

이어 “과징금 산정의 기준이 되는 관련 매출은 무선통신 매출을 기본으로 잡았다”며 “LTE와 5G 매출을 종합적으로 포함시켰다”고 말했다.

개인정보위는 KT에 펨토셀 등 무선통신망 장비의 취약점을 점검하고 개인정보에 대한 불법 접근을 차단할 대책을 마련하도록 명령했다. 개인정보 보호책임자(CPO)의 권한과 책임도 정비해 개선 사항을 3개월 안에 보고하도록 했다.

개인정보보호 관리체계(ISMS-P) 인증 범위도 이동통신 네트워크와 관련 시스템까지 확대하도록 권고했다.

개인정보위는 펨토셀 사고 조사 과정에서 별도의 악성코드 감염 사고도 확인했다. 해커는 2024년 3월 KT 로밍렌탈서비스 홈페이지의 취약점을 이용해 내부망에 침투한 뒤 서버 38대를 BPFDoor 등 악성코드에 감염시켰다.

또 관리자 페이지에 구조적 질의 언어(SQL) 삽입 공격을 가해 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보를 조회·유출한 정황도 파악됐다. 다만 당시 네트워크 로그가 남아 있지 않아 감염 서버에서 처리한 이용자 개인정보가 추가로 유출됐는지는 확인되지 않았다.

KT는 악성코드 감염 사실을 알고도 정부에 신고하지 않은 채 자체 조치한 것으로 조사됐다. 2025년 4월 서버를 전수 점검하는 과정에서는 침해 서버 10대의 로그를 삭제한 정황도 드러났다.

조사 초기에는 보존 자료가 없다고 진술했지만 디지털 포렌식에서 로그 삭제 정황이 확인되자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출했다.

개인정보위는 이를 거짓 자료 제출과 조사 방해 행위로 보고 KT를 수사기관에 고발하기로 했다. 악성코드 감염 사고에 대해서는 고발 이후에도 추가 조사를 이어갈 방침이다.