KT, 불법 펨토셀 개인정보 유출 과징금 540억···개인정보위, 조사 방해 고발

박윤영 KT 대표가 지난 7월 서울 광진구 풀만 앰배서더 서울 이스트폴 호텔에서 취임 후 첫 기자간담회를 열고, 'AX 플랫폼 컴퍼니'로 도약하기 위한 핵심 전략을 발표했다. [사진=KT]

[이뉴스투데이 백연식 기자] 불법 펨토셀로 이용자 1만 6647명의 개인정보가 유출되고 2억 4000만원 규모의 무단 소액결제 피해가 발생한 KT에 약 540억원의 과징금이 부과됐다.

개인정보보호위원회는 29일 제15회 전체회의를 열고, ‘개인정보보호법’을 위반한 KT에 대해 과징금 539억 7900만원을 부과했다. 유사사고 재발 방지를 위해 펨토셀 등 무선통신망 장비에 대한 취약점 점검 및 통신망 내 개인정보에 대한 불법적인 접근통제 등 안전조치를 강화하는 한편, 회사 전반의 개인정보 처리 업무에 대해 개인정보 보호책임자(CPO)의 책임과 역할을 명확히 하는 등 거버넌스 체계를 정비할 것을 시정 명령했다.

또 KT가 일부 IT서비스를 대상으로 획득한 개인정보보호 관리체계(ISMS-P) 인증범위를 이동통신 네트워크 시스템까지 확대해 개인정보 보호수준을 제고할 것도 개선 권고했다.

개인정보위는 KT가 약 11개월간 이어진 비인가 펨토셀의 내부망 접속을 탐지하지 못하는 등 기본적인 접근통제에 소홀했다고 판단했다. 이와 별개로 악성코드 감염 사실을 신고하지 않고 관련 로그를 삭제하거나 거짓 자료를 제출해 조사를 방해한 행위에 대해서는 KT를 고발하기로 했다.

펨토셀은 가정이나 사무실, 지하 등 무선통신 신호가 약한 음영지역의 통신 품질을 개선하기 위한 소형기지국을 말한다. KT는 2016년 11월부터 펨토셀을 도입·운영했으며, KT 인터넷을 사용하는 고객을 대상으로 설치기사가 직접 설치한다. 이용자에게 판매되지 않는 KT의 자산이다.

이 과정에서 KT 이용자 1만 6647명(알뜰폰 포함, 중복제거)의 개인정보(휴대전화번호, 가입자 식별번호(IMSI), 단말기 식별번호(IMEI))가 유출됐으며, 총 368명을 대상으로 약 2억 4000만원 상당의 무단 소액결제 피해가 발생한 것으로 확인됐다.

다수의 개인정보 유출사고는 개인정보가 제3자에게 유출됐음에도 직접적인 피해가 명확히 확인되지 않은 경우가 많았으나, 이번 사건은 단순한 개인정보 유출에 그치지 않고, 펨토셀을 통해 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다고 개인정보위는 판단했다.

개인정보위 조사과정에서 KT는 초기에는 감염서버에 대한 보존 자료가 없다고 거짓 진술했으나, 위원회가 디지털포렌식을 통해 조사착수 전 관련 로그를 삭제한 정황을 적발하자 진술을 번복하고 별도로 보관 중인 로그를 뒤늦게 제출해 조사를 지연시키는 등 위원회의 사고조사를 실질적으로 방해한 사실이 있었다.

개인정보위는 KT가 2024년 3월 악성코드 감염 사고 당시 개인정보 유출 분석을 소홀히 하고 정부에 신고하지 않은 데다, 이후 사고 서버의 로그 일부를 삭제하고 조사과정에서 거짓 자료를 제출하고 진술을 번복하는 등 조사를 방해한 행위에 대해 고발하기로 결정했다.

이와 함께 조사 착수 전 서버를 폐기해 증거를 인멸한 LGU+에 대해서는 수사기관에 수사를 의뢰하기로 했다.

개인정보위는 관련 제도개선도 추진한다. 현행 규정상, ‘조사 중’ 은닉 등 행위에 대해서는 형사처벌·과태료 부과가 가능하나, ‘조사 착수 전’ 행위에 대해서는 제재 규정이 미비해 사업자가 사고 발생 시 증거를 미리 은닉·폐기하는 것이 오히려 유리할 수 있는 규제 사각지대가 있다.

개인정보 유출사고가 발생하면 적기에 신고해 2차 피해를 최소화할 수 있도록 ‘조사 착수 전’ 은닉·폐기 행위에 대해 형사 처벌 규정 마련, 증거 은닉·폐기 시 과징금(전체 매출액의 3%) 부과, 증거 은닉·폐기를 신고해 조사·처분에 기여한 경우 신고포상금 지급 등 제도 개선을 추진한다.

사업자의 비협조로 인해 조사가 지연되는 문제를 막기 위해 조사 비협조 또는 시정명령 미 이행 시 이행강제금(일 매출액 0.3%) 부과, 침해사고 발생 시 자료보전명령 등이 가능하도록 보호법을 개정할 계획이다.