인싸잇=이서호 기자 | 정부가 지난해 1만 6000여 명의 개인정보가 유출되고 2억 4000만 원 상당의 무단 소액결제 피해 사고를 낸 KT에 약 540억 원의 과징금을 부과했다. 조사 과정에서 로그 삭제와 거짓 진술 등 조사 방해 행위도 확인돼 개인정보보호위원회는 KT를 수사기관에 고발하기로 했다.

개인정보보호위원회는 지난 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억 7900만 원과 시정명령, 개선권고, 공표·공표명령 등을 의결했다고 30일 밝혔다.

KT는 지난해 8월 해커가 제작한 불법 초소형 기지국(펨토셀)을 KT 이동통신망에 접속해 벌인 이용자 정보 유출 및 소액결제 사고를 겪었다. 해커는 분실된 KT의 정상 초소형 기지국에서 인증서를 빼낸 뒤 자체 제작한 펨토셀에 심어 KT 이동통신망에 접속한 것으로 조사됐다.

이후 이용자 단말이 해커가 만든 가짜 기지국을 거치도록 유도해 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 빼돌렸다. 별도로 확보한 이름과 성별, 생년월일 등 개인정보를 결합해 휴대폰 소액결제를 요청하고 결제 인증문자와 자동응답전화(ARS)를 탈취해 무단 소액결제에 성공한 것으로 드러났다.

개인정보위가 산정한 피해 고객은 1만 6647명이다. 무단 소액결제 피해자는 368명이며 피해 금액은 약 2억 4000만 원으로 집계됐다.

이번 사고는 펨토셀 관리 및 운영 과정에서 KT 내부망 관리를 소홀히 하여 발생한 것으로 전해졌다.

KT는 내부망 접속을 위해 부여하는 펨토셀 인증서의 유효기간을 10년으로 길게 설정했다. 내부망에 접속하는 펨토셀에 대해 접속 IP를 제한하지 않아 해커가 해외 IP로 접근해도 막을 수 없었다고 한다.

펨토셀 관리서버를 우회하는 경로도 존재해 해커들이 KT 내부망을 넘나들기 쉬웠다는 조사 결과도 나왔다. 이로 인해 해커는 별도의 인증절차 없이 KT 내부망을 지난 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 접속하며 개인정보를 유출했다.

이 기간 KT는 이상접속 행위를 알아차리지 못했으며 소액결제 피해로 인한 고객 민원이 다수 접수된 후에야 이상징후를 파악했다.

이에 개인정보위는 KT에 과징금을 부과하고 유사 사고 재발을 방지하기 위해 무선통신망 장비의 보안강화와 개인정보 보호 관련 거버넌스 체계를 정비할 것을 명령했다.

일부 IT서비스를 대상으로 획득한 개인정보보호 관리체계(ISMS-P)의 인증 범위를 이동통신 네트워크 시스템까지 확대하도록 개선 권고하기도 했다.

개인정보위는 이번 사건을 조사하던 중 지난 2024년 3월 KT 내부 서버가 해킹으로 악성코드에 감염된 사실을 추가 확인했다.

조사 결과 해커는 이 시기 KT 로밍렌탈서비스 홈페이지 내 허점을 이용해 악성코드 파일을 업로드해 서버 38대를 감염시켰다. 관리자 페이지도 공격해 KT 임직원 및 협력사 일부 직원의 개인정보를 조회 및 유출까지 했다.

KT는 2024년 3월 자사 서버의 악성코드 감염 사실을 최초 인지하고도 정부에 침해사실을 신고하지 않았고, 자체 조치한 것으로 나타났다. 지난해 4월 SK텔레콤 개인정보 유출 사고로 사회적 관심이 높아지자 침해 서버 10대의 로그를 삭제하는 등 침해사실은 은폐한 정황도 드러났다.

개인정보위에 따르면, KT는 조사과정 초기 당시 감염서버에 대한 보존 자료가 없다고 진술했다고 한다.

그러나 위원회가 디지털 포렌식을 통해 조사착수 전 관련 로그를 삭제한 정황을 확인하자, 진술을 번복하고 별도로 보관 중인 로그를 뒤늦게 제출해 조사를 지연시키는 등 위원회의 사고조사를 방해했다고 전해졌다.

이에 개인정보위는 조사 과정에서 보인 KT의 행동이 조사 방해에 해당한다고 보고 KT를 수사기관에 고발하기로 결정했다.

송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다”며 “특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하겠다”고 밝혔다.