[서울타임즈뉴스 = 최남주 기자] 불법 펨토셀(초소형 기지국)을 악용한 개인정보 유출 사고를 일으킨 KT가 500억원대 과징금과 함께 고발 조치를 받았다. 개인정보 유출 사고가 실제 금전 피해로 이어진 데다 조사 과정에서 허위 자료 제출과 로그 삭제 등 조사 방해 행위까지 확인되면서 개인정보보호위원회가 중징계를 의결했다.

개인정보보호위원회는 30일 개인정보 보호법 위반 혐의로 KT에 과징금 539억7900만원과 시정명령, 개선권고, 공표명령을 의결했다고 밝혔다. 조사 과정에서 허위 자료를 제출하고 관련 로그를 삭제하는 등 조사 업무를 방해한 행위에 대해서는 KT를 고발하기로 했다.

해커는 유실된 KT 펨토셀에서 인증서를 추출한 뒤 이를 자체 제작한 불법 펨토셀에 삽입해 KT 이동통신망에 접속했다. 이후 이용자 단말과 내부망 사이의 통신을 가로채 별도로 확보한 이름과 생년월일 등의 정보와 결합해 휴대전화 소액결제를 시도했고, 문자메시지(SMS)와 자동응답시스템(ARS) 인증번호를 탈취한 것으로 조사됐다.

알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐으며 무단 소액결제 피해자는 368명으로 집계됐다. 피해액은 약 2억4000만원으로 집계됐다.

사고 원인으로는 펨토셀 운영 과정의 보안 관리 부실이 지목됐다. KT는 인증서 유효기간을 10년으로 설정했고 접속 인터넷주소(IP) 제한도 두지 않았다. 이상 접속을 탐지하는 체계 역시 마련하지 않았다. 해커는 약 11개월 동안 내부망에 접속했고, 이상 접속은 민원이 제기된 이후에야 확인됐다. 개인정보위는 기본적인 접근 통제와 침해 방지 조치가 미흡해 사고를 예방하지 못한 것으로 판단했다.

지난 2024년 발생한 서버 악성코드 감염 사건도 이번 제재 대상에 포함됐다. KT는 해당 사실을 정부에 신고하지 않았고 일부 로그를 삭제하거나 허위 자료를 제출해 조사를 지연시킨 것으로 확인됐다. 개인정보위는 무선통신망 보안 대책을 3개월 안에 마련하도록 명령하고 개인정보 보호책임자(CPO)의 역할 강화와 개인정보 보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크까지 확대하도록 권고했다.

KT는 처분 결과를 무겁게 받아들이며 개인정보 보호 체계를 전면 재정비하고 보안 투자 확대와 재발 방지 대책을 추진하겠다고 밝혔다. 향후 대응 방향은 개인정보위 의결서를 받은 뒤 검토해 결정할 예정이다. 개인정보위는 조사 착수 전 관련 서버를 재설치하거나 폐기한 LG유플러스에 대해서도 수사를 의뢰했다. 아울러 증거 은닉이나 조사 방해 행위에 대한 형사처벌과 과징금, 이행강제금, 자료보전명령 등을 담은 개인정보 보호법 개정을 추진해 조사의 실효성을 높일 방침이다.

이와 관련, KT새노조는 이날 입장문을 통해 탈통신 중심 경영이 초래한 결과"라고 주장했다. 노조는 펨토셀 보안 관리 부실과 사고 은폐, 조사 방해를 지적하며 당시 의사결정 라인에 대한 철저한 수사와 책임 규명을 촉구했다. 이어 “KT가 발표한 12조원 규모의 보안 투자가 현장 인력과 설비 확충으로 이어져야 한다고 강조했다.