펨토셀(소형기지국) 해킹으로 1만 6000여 명의 이용자 개인정보가 유출되고 소액결제 사기 피해까지 발생한 KT(030200)에 대해 540억 원 규모의 과징금과 수사기관 고발이라는 처분이 내려졌다.

개인정보보호법에 따라 관련 매출액의 0.8% 수준 과징금이 부과됐는데, 앞서 개인정보 유출로 과징금을 받은 SK텔레콤(017670)이나 쿠팡이 관련 매출의 1~2% 수준에 해당하는 과징금 처분을 받은 것에 비하면 상대적으로 가볍다는 시각이 있다.

반면 실제 유출된 KT 가입자 정보가 1만 6000명 수준에 그치고 소액결제 사기 피해액도 3억 원 미만에 그친다는 점을 고려하면 SK텔레콤이나 쿠팡에 비해 400배에 가까운 무거운 처벌이 내려졌다는 분석도 나온다.

유출 정보 제한 및 피해보상이 감경 요인으로
KT에 대한 539억 7900만 원의 과징금 처분배경에는 '제한적인 유출 정보와 신속한 피해보상'이라는 감경 요인과 '실질적 2차 피해 및 조직적 은폐'라는 가중 요인이 함께 작용했다.

당국의 조사 결과 이번 사고는 KT가 초소형 기지국인 '펨토셀'을 관리·운영하는 과정에서 내부망 접근통제 등 기본적인 보안 관리를 소홀히 해 발생했다. KT는 내부망 접속용 펨토셀 인증서 유효기간을 10년으로 설정하고, IP 접속 제한조차 두지 않는 등 부실하게 관리해 온 것으로 드러났다.

더구나유출된 정보가 실제 2차 피해로 연결됐다. 조사 결과 유출 정보를 악용한 무단 소액결제로 피해자 368명에게서 총 2억 4000만 원 상당의 실질적인 금전 피해가 발생한 점이 제재에 중점 반영됐다.

다만 개인정보보호위원회가 과징금을 산정하는 과정에서 피해 규모와 정보의 성격 등이 참작돼 일부 감경을 받았다.

개보위가 집계한 KT의 개인정보 유출 피해자는 알뜰폰 포함 총 1만 6647명(중복 제거)으로, 확인된 유출 규모 자체가 상대적으로 소규모였다.

유출 항목 역시 임시값, 단말기식별번호(IMEI), 전화번호 등 3종으로 제한적이었다. 아울러 사고 발생 이후 KT가 피해보상을 신속하게 시행했고 시정조치에도 협조했다는 점이 감경 사유로 반영됐다.

하지만 실질적인 2차 피해 발생과 사후 대응 과정에서 드러난 조직적 은폐 정황에 대해서는 가중요인이 있었다.

개인정보위는 펨토셀 사고 조사 과정에서 KT가 2024년 3월 서버 38대의 악성코드 감염 사실을 인지하고도 정부에 신고하지 않은 사실을 확인했다.

해커는 KT 로밍렌탈서비스 홈페이지의 취약점을 이용해 내부 네트워크에 침투한 뒤 'BPFDoor' 등 악성코드를 퍼뜨렸다. 일부 KT 임직원과 협력사 직원의 이름과 전화번호, 계정이 조회·유출된 정황도 확인됐다.

그런데 사고 당시 네트워크 로그 등이 남아 있지 않아 감염 서버에서 처리하던 이용자 개인정보가 추가로 유출됐는지는 확인하지 못했다.

KT는 2025년 4월 악성코드 감염 여부를 전수 점검하면서 침해 서버 10대의 로그를 삭제한 정황도 드러났다.

개인정보위 조사 초기에는 보존 자료가 없다고 진술했으나 디지털 포렌식에서 로그 삭제 정황이 발견되자 별도로 보관하던 로그를 뒤늦게 제출했다.

개인정보위는 KT가 개인정보 유출 분석을 소홀히 하고 사고를 신고하지 않은 데다 거짓 자료 제출과 진술 번복 등으로 조사를 방해했다고 보고 수사기관에 고발하기로 했다.


"끝난 게 아니다"…개보위, 수사 결과 따라 '별도 2차 처분' 예고
주목할 점은 이번 과징금 부과 조치가 최종 제재가 아닐 수 있다는 점이다.

행정조사만으로는 증거 확보에 한계가 있는 만큼, 개보위는 수사의뢰 및 검찰 고발을 통해 악성코드 감염에 따른 실체적 진실과 추가 개인정보 유출 정황을 밝혀낸다는 방침이다.

개보위 측은 "수사를 통해 새로운 사실관계가 확보되면 그에 대해서는 별도의 처분이 예정돼 있다"고 강조했다.

한편 이번 개보위 처분에 대해 KT는 "결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"고 밝혔다.

이어 "개인정보 보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보 보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 덧붙였다.

smk5031@news1.kr