개인정보보호위원회가 불법 펨토셀을 통한 개인정보 유출 사고와 관련해 ㈜KT에 과징금 539억 7,900만 원을 부과하기로 의결했다. 개인정보위는 지난 7월 29일 제15회 전체회의를 열고 「개인정보 보호법」을 위반한 KT에 대한 제재처분을 확정했다.

위원회 조사 결과, 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 단말과 내부망 사이의 송·수신 정보를 가로챘고, 별도로 확보한 개인정보와 결합해 소액결제 인증에 쓰이는 ARS·SMS까지 탈취했다. 이 과정에서 이용자 1만 6,647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐으며, 368명을 대상으로 약 2억 4,000만 원 규모의 무단 소액결제 피해가 발생한 것으로 확인됐다.

개인정보위는 이번 사고가 초소형 기지국인 펨토셀을 운영하면서 내부망 접근통제 관리를 소홀히 해 발생한 것으로 판단했다. KT는 펨토셀 인증서 유효기간을 10년으로 길게 설정하고 접속 아이피(IP) 제한을 두지 않아 해외 IP에서도 접속이 가능한 상태로 운영했다. 이로 인해 해커는 별도 인증 절차 없이 약 11개월간 내부망에 접속했지만, KT는 소액결제 피해 민원이 접수되기 전까지 이상 접속을 탐지하지 못했다.

위원회는 재발 방지를 위해 통신설비 전반의 취약점 점검과 개인정보 보호책임자(CPO)의 실질적 역할 수행 등을 담은 대책을 3개월 안에 수립·보고하도록 시정명령했다. 또 사고가 발생한 이동통신 네트워크·시스템에 대해 개인정보보호 관리체계(ISMS-P) 인증을 받도록 개선을 권고했다.

아울러 KT가 2024년 3월 악성코드 감염 사실을 정부에 신고하지 않고 로그를 삭제하는 등 조사를 방해한 행위에 대해서는 고발하기로 했다. 조사 착수 전 서버를 폐기해 증거를 인멸한 ㈜LGU+는 수사기관에 수사의뢰하기로 결정했다. 개인정보위는 조사 착수 전 증거 은닉·폐기에 대한 형사처벌 규정 마련 등 제도개선도 연내 추진할 계획이다.

송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다"며 "사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하겠다"고 밝혔다.

한국e마케팅저널 정다희 기자 |