악성코드 은폐·로그 삭제 등 조사 방해 혐의는 고발 조치
[더팩트ㅣ최문정 기자] 개인정보가 유출되고 소액결제 피해가 발생한 KT에 약 540억원의 과징금이 부과됐다. 아울러 정부는 이번 건과는 별개로, 악성코드 감염 사실을 신고하지 않고 로그를 삭제하는 등 조사를 방해한 KT를 고발 조치하기로 했다.
개인정보보호위원회는 지난 29일 전체회의를 열고, 개인정보 보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다.
이번 사고는 KT의 소형 기지국 '펨토셀'이 해킹되며 발생했다. 펨토셀은 통신 음영지역 해소를 위해 사용되는 장치다. 관계당국의 조사에 따르면, 해커는 유실된 KT의 펨토셀을 입수한 뒤, 보안 관련 인증서를 빼냈다. 이후 이를 자체 제작한 펨토셀 장비에 심어 KT 내부망에 접속해 이용자 정보를 빼돌렸다. 이용자가 스마트폰 등의 단말기로 네트워크 서비스를 이용할 때마다 자신의 불법 펨토셀을 거치게 해 단말기와 내부망 사이의 송수신 정보를 가로채는 방식이었다. 이러한 정보 유출이 약 11개월간 반복됐지만, KT는 이상 접속을 탐지하지 못했다.
해킹으로 유출된 정보는 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등 고객 개인정보 2만2227건이다. 이 과정에서 고객 368명의 정보가 무단으로 도용돼 총 2억4300만원이 소액 결제되는 사례도 나왔다.
개인정보위는 이번 사태에서 △KT의 부실한 내부망 접근 통제 시스템 △약 11개월간 이어진 이상 접속 탐지 실패 △개인정보 유출로 인한 실제 금전적 피해 발생 등을 주목했다.
이번 과징금은 앞서 유심 해킹으로 약 1348억원에 달하는 과징금을 부과받은 SK텔레콤의 사례와 비교할 때, 크게 줄어든 규모다. 개인정보위는 SK텔레콤의 사례를 '매우 중대한 위반', KT는 '중대한 위반'에 해당한다고 설명했다.
양청삼 개인정보위 사무처장은 이날 브리핑에서 "KT의 경우, 2차 피해가 발생했다는 점에서 굉장히 심각한 요소로 봤다"며 "다만, 타사 사례와 비교했을 때 유출 규모가 상대적으로 소규모였고 유출된 정보 자체가 임시값·기기 단말기 정보·전화번호 등 기본적인 정보 3종에 불과했다는 점, 피해 보상과 시정 조치에 신속하게 협조가 됐다는 점을 감안했다"고 설명했다.
이재형 개인정보위 조사조정국장은 "개인정보위는 과징금을 산정할 때 기본적으로 관련 매출액을 기준으로 한다"며 "이후 해당 위반 행위가 얼마나 중대한지 '중대성'을 판단하는데, 이전 사건의 경우 유출된 정보 유형에 인증 정보가 있었고 피해 규모 또한 2000만명이 넘었다"고 말했다. 이어 "이러한 점에 차이가 있어 중대성 판단 또한 달리했다고 볼 수 있다"고 강조했다.
현행 개인정보보호법은 위반 행위와 관련된 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있다. 이번 KT의 과징금은 역시 피해가 발생한 이동통신서비스의 5G와 LTE 통신 관련 매출을 기반으로 산정됐다.
양 사무처장은 "펨토셀은 LTE에서 기본적으로 사용되는 장비지만, 5G 서비스가 도입된 이후에도 인프라 확충에 시간이 걸리기 때문에 5G 통신설비가 없는 곳에서는 LTE망을 겸용으로 이용한다"며 "이에 5G와 LTE 서비스를 포함해 매출액 산정에 고려했다"고 밝혔다.
KT는 이번 처분에 대해 "회사는 개인정보위의 처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"고 공식 입장을 밝혔다.
이어 이번 사건을 계기로 개인정보보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 늘리고 있다고 강조했다.
KT 관계자는 "전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 말했다.
한편, 개인정보위는 이번 사건과는 별개로 보안 관련 사고 가능성이 있지만, 조사나 제재를 피할 목적으로 증거를 은닉·폐기해 조사를 방해하는 행위에 대해 엄정히 대응한다는 구상이다. 이를 위한 제도 개선도 추진한다.
개인정보위에 따르면, KT는 2024년 3월부터 서버 내 악성코드 감염 사실을 알고도 이를 정부에 신고하지 않았으며, 이후 사고 서버의 로그를 삭제한 혐의가 있다. 또한 개인정보위는 KT가 거짓 자료를 제출하는 등 위원회 조사를 방해한 행위가 있어 수사 기관에 고발하기로 결정했다.
LG유플러스 역시 통합 비밀번호 관리시스템(APPM) 정보 유출 의혹이 불거졌지만, 위원회 조사 착수 전 관련 서버 OS를 재설치하거나 폐기한 혐의를 받고 있다. 개인정보위는 이를 공무집행방해 행위로 판단해 수사기관에 수사 의뢰할 방침이다.
양 처장은 "개인정보 유출에 대한 은닉·폐기의 가능성을 배제할 수 없어서 수사를 의뢰하게 됐다"고 밝혔다.
이어 "현행 규정상 조사 중 은닉 등 행위에 대해서는 제재가 가능하나 조사 착수 전 행위에 대해서는 제재 규정이 미비하다"며 "사업자가 사고 발생 시 증거를 미리 은닉·폐기하는 것이 오히려 유리하다고 생각할 수 있는 규제의 사각지대가 존재하는데, 본 위원회는 관련 제도를 개선해 나갈 계획"이라고 밝혔다.
jay09@tf.co.kr
- 발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.
- · 카카오톡: '더팩트제보' 검색
- · 이메일: jebo@tf.co.kr
- · 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write
- · 네이버 메인 더팩트 구독하고 [특종보자→]
- · 그곳이 알고싶냐? [영상보기→]