인증문자·전화까지 다 털렸다…KT 과징금 540억·조사방해 고발

1만 6647명 개인정보 유출… 368명, 2억 4000만원 무단 소액결제 피해

2차 피해 발생… 개보위 “중대한 위반”
11개월 간 해커 들락날락해도 몰랐다
인증서·접속 서버 관리 총체적 부실
기록 삭제·허위 진술…조사 방해 고발
LG유플러스, ‘서버 폐기’ 증거 인멸 시도
공무집행 방해로 LGU+ 경찰 수사 의뢰





1만 6000여명의 개인정보가 유출되고 무단 소액결제 피해가 발생한 KT가 540억원의 과징금을 물게 됐다. 조사 과정에서 로그 기록을 삭제하고 거짓 자료를 제출하며 조사를 방해한 혐의로 경찰 수사도 받게 됐다. 개인정보 유출 사건에 대한 조사 착수 전 서버 폐기 등 증거 인멸을 시도한 LG유플러스에 대해서도 수사 의뢰했다.

개인정보보호위원회는 30일 KT에 개인정보보호법 위반 혐의로 과징금 539억 7900만원과 시정 명령·개선 권고·공표 명령을 부과했다고 밝혔다.

해커는 KT의 유실된 소형기지국 ‘펨토셀’을 통해 KT 이동통신망에 접속해 이용자의 개인정보를 가로챈 것으로 드러났다. 이용자의 이름과 생년월일을 이용해 결제 인증 문자메시지와 자동응답시스템(ARS) 정보를 빼돌려 무단으로 소액결제를 했다. 이 과정에서 이용자 1만 6647명의 휴대전화 번호와 단말기 식별번호(IMEI)가 유출됐고, 알뜰폰 가입자를 포함한 총 368명이 약 2억 4000만원의 소액결제 피해를 입었다.

KT는 펨토셀의 보안 관리를 철저히 하지 않은 것으로 확인됐다. 접속 인터넷프로토콜(IP)을 제한하지 않았고, 관리서버에 접근할 수 있는 우회 접속 경로도 발견됐다. 해커가 침투했을 때 대응 체계도 마련돼 있지 않았다. 이 때문에 해커가 2024년 10월부터 지난해 9월까지 약 11개월간 KT 내부망에 접속했음에도 소액결제 피해 민원이 발생한 뒤에야 해커의 비정상적인 접속 사실을 파악할 수 있었다.



악성코드 감염 사고가 일어난 사실도 확인됐다. KT는 2024년 3월 로밍렌탈서비스 홈페이지로 해커가 침투해 38대의 서버가 BPF도어 등 다수의 악성코드에 감염된 사실을 파악하고도 신고하지 않았다. 해커가 임직원과 협력사 직원 정보 일부를 조회·유출한 정황도 확인됐다. 또 침해 서버 로그를 삭제한 뒤 보존 자료가 없다고 했다가 뒤늦게 제출해 개인정보위는 이를 조사 방해로 보고 고발하기로 했다.

개인정보위는 KT의 위반행위 정도를 ‘중대한 위반’으로 판단해 과징금을 부과하고 무선통신망 장비 보안 강화와 개인정보 보호 체계 정비를 명령했다.

양청삼 개인정보위 사무처장은 브리핑에서 “2차 피해가 있다는 점에서 매우 심각한 요소로 봤다”며 “개인정보처리자는 개인정보 유출이 국민 생명·재산에 직접적인 피해로 이어질 수 있다는 점을 무겁게 인식하고 유출사고가 나지 않게 책임 있는 노력을 해야 한다”고 말했다. 그는 “과징금 산정은 무선통신 매출을 기본으로 잡았고 LTE(4세대 이동통신 기술)와 5G 매출을 종합적으로 포함시켰다”고 덧붙였다.

아울러 개인정보위는 당국이 조사에 나서기 전 미리 비밀번호 관리시스템(APPM) 서버를 재설치하거나 서버를 폐기해 유출 경위와 추가 유출 확인을 어렵게 한 LG유플러스를 증거 은닉·폐기에 따른 공무집행방해 혐의로 고발했다. 개보위 관계자는 “LG유플러스는 위원회 조사 착수 전 서버 폐기 등의 증거·은닉 행위가 이뤄져 개인정보보호법상 조사방해 요건이 안돼 형법상 공무집행 방해로 수사기관에 수사를 의뢰했다”고 설명했다.



‘조사 전’ 증거 은닉·폐기 형사 처벌 추진
매출 3% 과징금 부과…신고포상금제 도입
비협조·시정명령 미이행, 이행강제금 부과개인정보위는 이번 사건을 계기로 향후 재발 방지와 조사 실효성을 높이기 위해 제도 개선을 추진하기로 했다. 조사 착수 전 증거를 은닉·폐기한 경우 형사처벌하거나 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 하고 신고포상금 제도도 도입할 계획이다. 또 조사에 비협조적이거나 시정명령을 미이행한 사업자에 대해서는 하루 매출액의 0.3%를 이행강제금으로 부과하고 침해사고 발생 시 자료 보전명령을 내릴 수 있도록 개인정보보호법 개정도 추진할 방침이다.

개보위는 “사고 은폐와 조사 방해라는 일부 기업의 고질적 관행에 대해 경종을 울리고 사고를 은폐하더라도 끝까지 법적 책임을 물어 이런 선택이 더 이상 기업에 유리하지 않다는 인식을 정착시켜 나가겠다”고 밝혔다.

KT는 이날 과징금 부과 등과 관련해 “개인정보위의 처분 결과를 무겁게 받아들인다”며 “고객과 국민께 심려와 불안을 끼쳐드린 점을 다시 한번 고개 숙여 깊이 사과드린다”고 밝혔다. KT는 개인정보위 의결서를 수령한 뒤 처분 사유와 세부 내용을 면밀히 검토해 향후 대응 방향을 정할 방침이다.

LG유플러스는 증거 인멸 의혹에 “같은 사안에 대해 경찰 수사가 진행 중이며 수사에 성실히 임하고 있다”고 밝혔다. 다만 별도의 해명이나 법적 대응 계획은 내놓지 않았다.