불법 소형기지국(펨토셀)을 통해 이용자 1만6천여명의 개인정보가 유출되고 무단 소액결제 피해가 발생한 KT에 약 540억원의 과징금이 부과됐다.
개인정보보호위원회는 지난 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7천900만 원을 부과하고 시정명령, 개선권고, 공표명령 등을 의결했다고 30일 밝혔다.
조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 자체 제작한 불법 펨토셀에 심어 KT 이동통신망에 접속한 뒤 통신 정보를 가로챘다. 이후 확보한 정보에 이름, 생년월일 등을 결합해 소액결제를 시도하고 결제 인증 문자(SMS) 및 ARS를 탈취해 무단 결제를 진행한 것으로 드러났다.
이 과정에서 알뜰폰 가입자를 포함해 총 1만6천647명의 휴대전화번호, 국제모바일가입자식별번호(IMSI), 단말기 식별번호(IMEI)가 유출됐으며, 368명이 약 2억4천만원의 무단 소액결제 피해를 입었다.
KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 타사나 해외 IP 접속을 제한하지 않는 등 관리 체계가 허술했던 것으로 확인됐다. 해커는 별도 인증 없이 2024년 10월8일부터 지난해 9월5일까지 약 11개월간 KT 내부망에 무단 접속했으나, KT는 소액결제 피해 민원이 발생한 뒤에야 비정상적인 접속을 파악했다.
추가로 KT의 악성코드 감염 미신고 및 조사 방해 정황도 밝혀졌다.
KT는 2024년 3월 로밍렌탈서비스 홈페이지를 통해 38대의 서버가 BPF도어 등 악성코드에 감염된 사실을 인지하고도 정부에 신고하지 않은 채 자체 조치한 것으로 확인됐다.
또한 조사 초기 침해 서버 10대의 로그를 삭제하거나 거짓 진술을 하는 등 조사를 방해한 혐의가 드러나 개인정보위는 KT를 검찰에 고발하기로 결정했다.
앞서 개인정보위는 지난해 개인정보 유출 조사 과정에서 서버 운영체제(OS)를 재설치하거나 서버를 폐기한 LG유플러스에 대해서도 공무집행방해 혐의로 수사기관에 수사를 의뢰하기로 한 바 있다.
개인정보위는 이번 사건을 계기로 조사 착수 전 증거 은닉·폐기 행위에 대한 형사처벌 규정 마련, 전체 매출액의 3% 이내 과징금 부과, 하루 매출액의 0.3% 이행강제금 부과 등 조사 실효성을 높이기 위한 법 개정을 추진할 방침이다.
한편 KT는 개인정보보호위원회로부터 불법 펨토셀 관련 개인정보 유출 건으로 539억7천900만원의 과징금 부과 및 개선 권고 처분을 받은 데 대해 공식 사과했다.
KT는 30일 입장문을 통해 “처분 결과를 무겁게 받아들이며, 큰 심려와 불안을 끼쳐드린 점에 대해 고개 숙여 깊이 사과드린다”며 “개인정보 보호 체계 전반을 원점에서 재정비하고 보안 투자를 확대해 사태 재발 방지와 고객 신뢰 회복에 최선을 다하겠다”고 밝혔다.
이어 “행정소송 등 불복 여부에 대해서는 의결서 수령 후 면밀히 검토해 입장을 정할 방침이며, 악성코드 감염 미신고 및 조사 방해 혐의에 따른 경찰 고발 조치에 대해서는 향후 조사가 시작되면 정해진 절차에 따라 성실히 임하겠다”고 전했다.
Copyright ⓒ 경기일보 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
