KT 해킹 제재 수위 오늘 나온다…과징금 산정 기준 '주목'

개인정보위, 전날 전체회의서 제재안 논의
유출 규모부터 사후 보안 강화 등 종합 반영

불법 초소형기지국(펨토셀)을 활용한 KT 고객 개인정보 유출과 무단 소액결제에 대한 제재 수위가 이날(30일) 공개될 예정이다. /더팩트 DB

[더팩트ㅣ최문정 기자] 정부가 KT의 불법 초소형기지국(펨토셀)을 활용한 개인정보 유출과 무단 소액결제에 대한 제재 수위를 이날 공개한다. KT에 부과될 과징금 규모는 개인정보 유출 규모와 사고 당시 회사의 보안 체계, 이후 재발방지 방안 마련 여부 등을 종합적으로 고려할 것으로 예상되는 만큼, 업계의 이목이 쏠리고 있다.

30일 통신업계에 따르면, 개인정보보호위원회(이하 개인정보위)는 전날 오후 서울 종로구 정부서울청사에서 전체회의를 열고, KT의 개인정보보호법 위반 여부와 과징금·과태료, 시정명령 등을 담은 제재안을 심의했다. KT에 부과될 과징금을 포함한 구체적인 내용은 이날 오전 중 발표될 예정이다.

앞서 지난해 9월 KT에서는 불법 펨토셀을 통한 해킹으로 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등 고객 개인정보 2만2227건이 유출되는 보안 사고가 발생했다. 이 과정에서 고객 368명의 정보가 무단으로 도용돼 총 2억4300만원이 소액결제되는 사례도 나왔다.

과학기술정보통신부 민관합동조사단은 KT에 납품된 펨토셀이 동일한 제조사 인증서를 사용해 인증서를 복사한 비정상 장비도 내부망에 접속할 수 있었다고 판단했다. 인증서 유효기간도 10년으로 설정돼 장기간 접속이 가능한 구조라 피해를 키웠다는 지적도 있었다.

개인정보위는 개인정보 유출 규모와 실제 피해, 안전조치 의무 이행 여부, 사고 이후의 대응 및 재발 방지 노력 등을 종합적으로 검토해 실제 과징금 부과액을 결정한 것으로 보인다.

현행 개인정보보호법은 위반 행위와 관련된 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있다. KT의 최근 3개 사업연도 무선서비스 매출 평균은 약 6조5000억원으로, 법정 상한을 단순 적용하면 최대 과징금은 약 1950억원 수준이다.

다만, 3%는 법정 상한선일 뿐, 실제 과징금은 개인정보위가 '위반 행위와 관련된 매출액'을 어디까지 인정하느냐에 따라 달라질 전망이다. 이동통신망과 무선서비스 전체를 관련 사업으로 판단하면 산정 기준이 커지지만, 사고가 발생한 서비스나 피해 범위를 중심으로 기준을 좁히면 과징금 규모도 크게 줄어들 수 있다.

지난해 11월 한 시민이 KT플라자 여의도역점에서 유심 교체 상담을 받고 있다. /서예원 기자

특히, 이번 KT 사고의 경우, 전체 가입자를 대상으로 한 개인정보 유출 사고가 아닌, 일부 지역에서 발생한 국지적 사고라는 점이 주효할 것으로 보인다. 개인정보위 사전통지서에는 법인 회선과 중복 회선을 제외한 개인정보 유출 인원이 약 1만6000명으로 적시된 것으로 알려졌다.

앞서 유심 정보 해킹으로 인해 개인정보 유출이 발생했던 SK텔레콤의 사례와의 비교도 필요하다. 개인정보위는 지난해 유심 정보 해킹으로 약 2324만명의 고객 개인정보 유출 사고를 낸 SK텔레콤에게 1347억9100만원의 과징금과 960만원의 과태료를 각각 부과했다. 이는 전년(2024년) SK텔레콤의 무선 매출액의 약 1%에 해당하는 수준이다. 동일한 기준대로 KT의 과징금 규모를 계산할 경우, 약 600~700억원대의 과징금이 부과될 것으로 예상된다.

다만, KT의 경우, 도용된 개인정보를 활용한 무단 소액결제 피해가 보고되는 등 실제 금전적인 피해가 발생한 점이 불리한 점으로 작용할 것으로 예상된다.

KT가 사고 발생 이후 고객 보상안 마련과 보안 거버넌스 재구축에 나선 것도 고려 대상이 될 수 있다. KT는 정보보호최고책임자(CISO) 직책 신설과 전담 조직 확대, 향후 3년간 정보보안과 IT 혁신 분야에 총 4조원의 투자를 약속했다.

한 통신업계 관계자는 "이번 결정은 단순히 KT에 대한 제재를 넘어 향후 대규모 개인정보 유출 사고에 대한 정부의 기준을 가늠하는 사례가 될 것"이라며 "보안사고 자체는 물론이고, 이 과정에서 기업의 책임 여부와 사후 대응 방식 등이 얼마나 종합적으로 고려될 지 지켜봐야 한다"고 밝혔다.

jay09@tf.co.kr

발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.: · 카카오톡: '더팩트제보' 검색; · 이메일: jebo@tf.co.kr; · 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write; · 네이버 메인 더팩트 구독하고 [특종보자→]; · 그곳이 알고싶냐? [영상보기→]