불법 초소형 기지국 허술한 보안에 망 뚫려… 1만 6천 명 정보 유출 및 2억 4천만 원 피해
과거 악성코드 감염 은폐 및 로그 삭제 등 ‘조사 방해’ 드러나… 개인정보위, 수사기관 고발
KT “처분 결과 무겁게 받아들인다… 보안 투자 확대 및 원점 재정비” 사과

정부가 지난해 대규모 개인정보 유출 및 무단 소액결제 사고를 일으킨 KT에 540억 원대 과징금을 부과하고 수사기관에 고발조치했다.

■ 불법 펨토셀에 내부망 무방비 노출… 인증서 유효기간만 10년

개인정보보호위원회는 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억 7,900만 원과 시정명령, 개선권고 등을 의결했다고 30일 밝혔다.

KT는 지난해 8월 해커가 제작한 불법 초소형 기지국(펨토셀)이 KT 이동통신망에 무단 접속하는 사태를 허용했다. 해커는 분실된 정상 펨토셀의 인증서를 빼내어 자체 장비에 이식한 뒤 망에 침입했다. 이 과정에서 KT가 기지국 접속 인증서의 유효기간을 10년이나 길게 설정하고 해외 IP나 타사 접근을 제대로 통제하지 못한 허술한 보안 관리 실태가 도마 위에 올랐다. 결국 해커는 11개월 동안 내부망을 드나들며 이용자 1만 6,647명의 전화번호와 식별번호 등을 빼돌렸고, 368명을 상대로 2억 4,000만 원 상당의 무단 소액결제 피해를 발생시켰다.

■ 악성코드 감염 은폐·로그 삭제 발각… ‘조사 방해’로 수사기관 고발

이번 조사 과정에서는 KT가 과거의 침해 사고를 숨기려 조직적으로 증거를 인멸한 정황도 추가로 드러났다.

개인정보위에 따르면 KT는 지난 2024년 3월 내부 로밍 웹사이트 취약점으로 인해 서버 38대가 악성코드에 감염되고 임직원 정보가 유출되었음에도 이를 당국에 신고하지 않았다. 나아가 지난해 SK텔레콤 유출 사고 계기로 진행된 전수 점검 과정에서 침해 서버 10대의 로그를 삭제한 뒤 “보존 자료가 없다”고 허위 진술한 사실이 디지털 포렌식을 통해 밝혀졌다. 개인정보위는 이를 명백한 조사 방해 및 거짓 자료 제출로 판단해 KT를 수사기관에 고발하기로 했다.

■ KT “무겁게 받아들인다… 보안 투자 확대 및 원점 재정비”

역대급 과징금 철퇴를 맞은 KT는 입장문을 통해 “지난 사고로 고객과 국민께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다”며 고개를 숙였다.

이어 개인정보 보호 체계 전반을 원점에서 재정비하고 보안 투자를 대폭 확대해 재발 방지에 총력을 다하겠다고 밝혔다. 법적 대응 여부에 대해서는 의결서를 수령한 뒤 면밀히 검토해 결정하겠다는 입장이다. 한편 개인정보위는 이번 처분이 단순한 정보 유출을 넘어 실제 금전적 피해가 발생한 통신망 관리 책임을 엄중히 묻고, 사고 은폐 행위에 대해 강력한 철퇴를 내렸다는 점에서 의미가 크다고 강조했다.

[AI경기방송/한나래]