[서울= 뉴스핌] 정승원 기자= 펨토셀(소형 기지국) 해킹으로 고객 개인정보를 유출한 KT가 539억원의 과징금을 부과받았다. 

개인정보보호위원회는 29일 KT가 불법 펨토셀을 통해 고객 개인정보를 유출하게 한 책임에 대해 과징금 539억7900만원을 부과하기로 의결했다고 30일 밝혔다.

KT 해킹 사건에 대한 조사 결과, 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 이를 통해 KT 이동통신망에 접속했다.

이용자 단말이 해커의 펨토셀을 경유하도록 유도해 송수신 정보를 가로챘고 이 과정에서 KT 이용자 1만6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출됐다.

유출된 정보는 실제 피해로 이어졌다. 해커는 추가로 확보한 이름, 성별, 생년월일 정보와 결합해 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제를 감행했다.

개보위는 KT가 펨토셀 관리를 부실하게 운영했다고 판단했다. 인증서 유효기간을 10년으로 장기간 설정했고 내부망 접속 시 접속 IP 제한을 하지 않아 타사나 해외 IP에서도 접속 가능하도록 운영했다.

펨토셀 관리서버를 우회하는 경로도 존재했으며 비인가 셀 아이디(Cell ID) 이상접속에 대한 탐지·대응체계가 없었다. 해커는 이 같은 허점을 이용해 2024년 10월부터 2025년 9월까지 약 11개월간 내부망에 접속했으나 탐지되지 않았다.

게보위는 시정명령과 개선권고도 내렸다. 펨토셀 등 통신설비 전반의 취약점 점검과 개인정보 보호책임자(CPO)의 실질적 역할 수행을 포함한 대책을 3개월 내 수립·보고하도록 시정명령했다. 또한 이동통신 네트워크·시스템에 대해 개인정보보호 관리체계(ISMS-P) 인증을 받도록 개선권고했다.

악성코드 감염에 대한 조사 결과도 나왔다. 조사 결과 KT는 2024년 3월 악성코드 감염 사실을 인지했으나 정부에 신고하지 않았다. 2025년 4월 다른 통신사 유출사고를 계기로 전수점검 과정에서 감염 서버 일부의 로그를 삭제하는 등 침해사실을 은폐했다.

조사 과정에서 초기에는 보존 자료가 없다고 거짓 진술했다가 나중에 로그를 제출하는 등 조사를 방해했다. 이에 개보위는 KT를 고발하기로 결정했다.

다른 안건으로 LG유플러스가 임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일을 유출한 부분에 대해서는 조사 착수 전 관련 서버의 운영체제를 재설치하거나 폐기해 증거를 인멸했다고 확인했다. 개보위는 이를 공무집행방해로 판단해 수사기관에 수사를 의뢰하기로 했다.

개보위는 위원회는 조사 실효성을 강화하기 위해 제도개선을 추진한다. 조사 착수 전 증거 은닉·폐기 행위에 대한 형사처벌 규정 마련, 증거 은닉·폐기 시 과징금(전체 매출액의 3%) 부과, 증거 은닉·폐기를 신고한 경우 포상금 지급 등을 추진한다.

또한 조사 비협조 또는 시정명령 미이행 시 이행강제금으로 일 매출액의 0.3% 부과와 침해사고 발생 시 자료보전명령 제도 도입을 위해 개인정보 보호법 개정을 추진할 계획이다.

송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다"라며 "특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"라고 밝혔다.

origin@newspim.com