개인정보위, KT에 과징금 540억 부과…팸토셀 해킹 관리 소홀 인정

유출 개인정보 소액결제 악용해 금전 피해 팸토셀 관리 소홀로 11개월간 해킹 인지 못해 조사 착수 전 서버 폐기한 LG U+ 수사 의뢰 개인정보보호위원회가 지난해 불법 펨토셀(소형기지국) 관리 소홀로 이용자 1만6647명의 개인정보를 유출한 KT에 과징금 539억7900만원을 부과했다. 유출된 개인정보가 소액결제 인증에 악용돼 실제 금전 피해로 이어진 데다, 사고 이후 조사 방해 행위까지 확인되면서 중징계가 내려졌다. 개인정보위는 전날 제15회 전체회의를 열고 이같이 의결했다고 30일 밝혔다. KT에는 과징금과 함께 시정명령, 개선권고, 공표명령이 내려졌으며, 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 행위에 대해서는 고발 조치가 이뤄졌다. 이와 함께 조사 착수 전 서버를 폐기해 증거를 인멸한 LG유플러스에 대해서는 수사기관에 수사를 의뢰하기로 결정했다. 조사 결과 이번 사고는 유실된 KT 펨토셀이 해킹에 악용되면서 발생했다. 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 이를 통해 KT 이동통신망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 단말과 내부망 간 송·수신 정보를 가로챘고, 추가로 확보한 개인정보와 결합해 소액결제를 시도한 뒤 인증번호가 담긴 자동응답시스템(ARS)과 문자메시지서비스(SMS)를 탈취했다. 이 과정에서 이용자 1만6647명(알뜰폰 포함)의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐으며, 총 368명을 대상으로 약 2억4000만원의 무단 소액결제 피해가 발생한 것으로 확인됐다. 개인정보위는 이번 사고가 KT의 펨토셀 관리 부실에서 비롯됐다고 판단했다. 당시 KT는 내부망 접속에 사용되는 펨토셀 인증서의 유효기간을 10년으로 설정하고, 접속 인터넷 프로토콜(IP)을 제한하지 않아 타사나 해외 IP 주소를 통한 접속도 가능하도록 운영했다. 또 비인가 펨토셀의 이상 접속을 탐지·차단하는 체계도 제대로 갖추지 않아 해커가 약 11개월간 KT 내부망에 접속하는 동안 이를 인지하지 못한 것으로 조사됐다. 개인정보위는 이 같은 펨토셀 관리 부실과 내부망 접근통제 미흡이 개인정보보호법상 안전조치 의무 위반에 해당한다고 판단했다. 이에 KT에 홈페이지 공표명령과 함께 펨토셀 등 통신설비 전반의 취약점을 점검하고 개인정보보호책임자(CPO)의 역할을 강화하도록 시정명령했다. 이동통신 네트워크 시스템에 대해서는 개인정보보호 관리체계(ISMS-P) 인증을 받도록 개선을 권고했다. KT의 조사 방해 행위도 제재 대상이 됐다. KT는 2024년 3월 서버 38대가 악성코드에 감염된 사실을 인지하고도 정부에 신고하지 않았으며, 이후 감염 서버 일부의 로그를 삭제하는 등 침해 사실을 은폐하려 했다는 정황이 확인됐다. 개인정보위 조사 과정에서는 보존 자료가 없다고 거짓 진술했다가 번복하는 등 조사를 방해한 것으로 확인돼 고발됐다. 한편 서버를 폐기해 증거를 인멸한 LG유플러스에 대해서는 공무집행방해 행위로 판단해 수사기관에 수사를 의뢰했다. 개인정보위는 사고 원인과 개인정보 유출 여부 등을 확인하는 데 필요한 증거가 훼손된 것으로 보고, 형법상 공무집행방해 해당 여부를 수사기관에서 가릴 필요가 있다고 판단했다. KT는 이날 입장문을 통해 “개인정보보호위원회의 처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”며 “개인정보보호 체계 전반을 원점에서 재정비하고 보안 투자를 확대하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 밝혔다.