KT, 개인정보 유출에 539억원 과징금…“보안 체계 원점 재정비”

서울 종로에 위치한 KT 광화문 사옥. [사진=KT]

【투데이신문 이예서 기자】 KT가 개인정보 유출 사고로 개인정보보호위원회로부터 539억원대 과징금을 부과받은 데 대해 사과하고 개인정보보호 체계를 전면 재정비하겠다고 밝혔다.

KT는 30일 입장문을 통해 “개인정보보호위원회의 처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”고 밝혔다. 이어 “개인정보보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 강조했다.

이날 개인정보위는 전날 전체회의를 열고 개인정보보호법 위반 혐의를 받는 KT에 과징금 539억7900만원과 시정명령, 개선권고를 의결했다고 밝혔다. 또 조사 과정에서 거짓 자료 제출과 로그 삭제 등 조사 방해 행위가 있었다고 판단해 KT 법인을 고발하기로 했다.

이번 사고는 유실된 KT 펨토셀 인증서를 해커가 자체 제작한 불법 펨토셀에 적용하면서 발생했다. 해커는 이를 통해 KT 이동통신망에 접근해 이용자 단말과 내부망 사이를 오가는 통신 정보를 가로챘고, 확보한 개인정보를 이용해 소액결제를 시도한 것으로 파악됐다.

이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 주요 개인정보가 유출됐다. 이 중 368명은 총 2억4000만원 규모의 소액결제 피해를 입은 것으로 확인됐다.

개인정보위는 KT가 펨토셀 운영 과정에서 기본적인 접근통제와 보안 관리 의무를 소홀히 했다고 판단했다. 펨토셀 인증서 유효기간을 장기간 운영했고, 접속 인터넷주소(IP)를 제한하지 않아 타사와 해외 IP에서도 내부망 접속이 가능했다. 또 비인가 셀 아이디(Cell ID)에 대한 관리와 이상 접속 탐지 체계도 제대로 갖추지 못했던 것으로 조사됐다.

해커는 이러한 취약점을 이용해 2024년 10월부터 약 11개월간 내부망에 접근했지만, KT는 소액결제 피해 관련 민원이 접수된 이후에야 이상 징후를 확인한 것으로 나타났다. 개인정보위는 이 같은 안전조치 의무 소홀이 개인정보 유출로 이어졌다고 판단했다.

이와 함께 개인정보위는 KT의 2024년 악성코드 감염 사고 대응 과정에서도 문제를 확인했다. 당시 로밍렌탈 서비스 홈페이지 취약점을 통해 서버가 악성코드에 감염됐지만, KT는 개인정보 유출 여부를 충분히 확인하지 않은 채 자체 조치로 사건을 종결한 것으로 조사됐다. 또 정부의 악성코드 감염 전수 점검 과정에서는 일부 서버 로그 삭제 정황과 초기 자료 미제출 등 조사 방해 행위도 확인됐다.

개인정보위는 KT에 펨토셀을 포함한 통신설비 전반의 취약점을 점검하고 개인정보보호책임자(CPO)의 역할을 강화하도록 시정명령했다. 아울러 사고가 발생한 이동통신 네트워크·시스템에 대해서는 개인정보보호 관리체계(ISMS-P) 인증을 받도록 개선을 권고했다.