송경희 개인정보보호위원회 위원장이 정부서울청사에서 개최된 제15회 전체회의에서 국민의례를 하고 있다. 개인정보보호위원회 제공KT가 초소형 기지국인 '펨토셀'의 접근통제를 부실하게 운영해 고객 1만 6천여명의 개인정보를 유출한 책임으로 약 540억원의 과징금을 부과받았다.
해커는 약 11개월 동안 KT 내부망에 침투해 문자메시지와 자동응답전화(ARS)를 가로채 휴대전화 소액결제에 악용했고, 이 과정에서 2억4천만원 상당의 금전 피해도 발생했다.
개인정보보호위원회는 전날 열린 제15회 전체회의에서 개인정보 보호법상 안전조치 의무를 위반한 KT에 과징금 539억 7900만원을 부과했다고 30일 밝혔다. 시정명령과 개선권고, 처분 사실 공표명령도 함께 의결했다.
펨토셀 해킹으로 개인정보 유출…368명 2억4천만원 피해
황진환 기자개인정보위에 따르면 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 이를 자체 제작한 펨토셀에 심어 KT 이동통신망에 접속했다. 펨토셀은 가정이나 사무실, 지하 등 이동통신 음영지역의 통화 품질을 개선하기 위한 초소형 기지국으로, KT가 직접 설치·관리하는 장비다.
해커는 이용자 단말기가 자신이 만든 펨토셀을 거치도록 유도한 뒤 단말기와 KT 내부망 사이를 오가는 정보를 가로챘다. 여기에 별도로 확보한 이름·성별·생년월일 등 개인정보를 결합해 소액결제를 요청하고, 결제 인증 문자와 ARS 인증까지 탈취해 무단 결제를 진행했다.
이 과정에서 알뜰폰 가입자를 포함한 KT 이용자 1만 6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 이 가운데 368명은 모두 2억 4천만원 상당의 소액결제 피해를 입었다.
개인정보위는 "다수의 개인정보 유출사고는 직접적인 피해가 명확히 확인되지 않은 경우가 많았으나, 이번 사건은 단순한 정보 유출을 넘어 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다"고 판단했다.
당초 KT는 유출 규모를 2만 2227명으로 신고했지만, 개인정보위는 법인 회선과 동일인의 복수 회선 등을 제외해 실제 정보주체는 1만 6647명으로 최종 산정했다.
"10년짜리 인증서·해외 IP도 허용"…KT 허술한 보안관리
개인정보위는 펨토셀의 인증체계와 이동통신망 접속 승인, 내부망 접근 권한, 보안통제 등을 모두 KT가 관리하는 만큼 실질적인 운영 책임 역시 KT에 있다고 판단했다. 조사 결과 KT의 펨토셀 관리체계는 인가받지 않은 장비도 내부망에 쉽게 접속할 수 있을 정도로 허술했던 것으로 드러났다.
KT는 펨토셀 인증서 유효기간을 10년으로 설정했고, 접속 인터넷주소(IP) 제한도 두지 않아 타사나 해외 IP에서도 내부망 접속이 가능하도록 운영했다. 펨토셀 관리서버를 우회할 수 있는 경로도 존재했고, 기지국 식별자인 '셀 아이디(Cell ID)'의 비정상 접속을 탐지하거나 차단하는 체계도 마련하지 않았다.
해커는 이런 허점을 이용해 2024년 10월 8일부터 이듬해 9월 5일까지 약 11개월 동안 별도의 인증 절차 없이 KT 내부망에 접속했다. KT는 개인정보 유출과 소액결제 피해가 이어지고 민원이 잇따른 뒤에야 비정상 접속 사실을 확인했다.
KT는 심의 과정에서 "해커가 직접 펨토셀을 제작해 통신 신호를 가로챈 전례 없는 공격이어서 사전에 예측하거나 대응하기 어려웠다"고 주장했지만, 개인정보위는 기본적인 안전조치만 제대로 이뤄졌더라도 사고를 예방할 수 있었다고 판단했다.
개인정보위 관계자는 "KT가 개인정보보호법에서 부여하고 있는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위한 안전조치 의무를 위반한 것으로 판단했다"고 설명했다.
개인정보위는 KT에 펨토셀을 비롯한 무선통신망 장비 전반의 취약점을 점검하고 불법적인 내부망 접근을 차단할 수 있도록 보안조치를 강화하라고 명령했다. 또 개인정보 보호책임자(CPO)의 책임과 역할을 명확히 하는 등 개인정보 보호 거버넌스 개선 대책을 3개월 안에 마련해 보고하도록 했다.
이와 함께 현재 일부 정보기술 서비스에만 적용되는 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크 시스템까지 확대하는 방안도 개선 권고했다.
악성코드 감염도 미신고…로그 삭제 정황에 수사기관 고발
이번 조사에서는 KT가 과거 악성코드 감염 사실을 신고하지 않고 조사 과정에서 관련 로그를 삭제하는 등 개인정보위 조사를 방해한 정황도 확인됐다.
개인정보위는 펨토셀 사건을 조사하는 과정에서 2024년 3월 KT IT서비스 네트워크 내 서버 38대가 'BPFDoor' 등 악성코드에 감염된 사실을 추가로 확인했다. 이 과정에서 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정정보 등이 조회·유출된 정황도 드러났다.
하지만 KT는 악성코드 감염 사실을 인지하고도 관계기관에 신고하지 않았고 자체 조치만 진행했다. 또 2025년 4월 서버를 전수 점검하는 과정에서는 침해가 발생한 서버 10대의 로그를 삭제하는 등 사고 은폐 정황도 확인됐다.
개인정보위는 KT가 거짓 자료를 제출하고 진술을 번복하는 등 조사를 실질적으로 방해했다고 판단해 수사기관에 고발하기로 했다.
아울러 지난해 8월 불거진 LG유플러스 임직원·협력사 직원 개인정보 유출 사고 역시 개인정보위 조사 착수 전에 관련 서버 운영체제를 재설치하거나 서버를 폐기한 사실이 확인돼 수사의뢰 대상에 포함됐다.
송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 강화하는 계기가 되길 바란다"며 "사고 발생 이후 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하겠다"고 말했다.
영문기사 보기 (View English Article)