KT 개인정보 유출 제재 수위 29일 결정…과징금 산정 촉각

[마이데일리 = 박성규 기자] 개인정보보호위원회가 오는 29일 KT 해킹 사고에 대한 제재안을 심의한다. 불법 소형 기지국을 통한 개인정보 유출이 무단 소액결제 피해로 이어진 데다 악성코드 감염 서버 관리 문제까지 드러난 만큼 과징금 산정 범위와 감경·가중 여부에 관심이 쏠린다.

27일 정보기술(IT)업계에 따르면 개인정보위는 29일 오후 전체회의를 열고 KT의 개인정보보호법 위반 여부와 과징금 부과 등을 담은 처분안을 심의·의결할 예정이다.

개인정보위는 지난 5월 조사를 마무리하고 KT에 처분 사전통지서를 보냈다. 이후 KT가 제출한 의견과 소명자료를 토대로 최종 제재안을 검토해 왔다.

SK텔레콤 등 앞선 대규모 개인정보 유출 사건은 전체회의 심의 당일 처분안이 의결됐다. KT에 대한 최종 처분도 이날 확정될 가능성이 있지만 위원들이 추가 검토가 필요하다고 판단하면 의결이 다음 회의로 미뤄질 수 있다.

이번 제재 대상은 지난해 9월 드러난 불법 소형 기지국인 ‘펨토셀’ 악용 사고다. 정부 조사 결과 불법 펨토셀에 접속한 KT 이용자 2만2227명의 가입자식별번호(IMSI)와 단말기식별번호(IMEI), 전화번호가 유출됐다.

이 가운데 368명은 총 777건, 약 2억4300만원의 무단 소액결제 피해를 봤다. 개인정보 유출이 실제 금전 피해로 이어졌다는 점이 제재 수위를 결정하는 주요 변수로 꼽힌다.

정부 조사에서는 KT의 펨토셀 생산·납품과 내부망 접속 인증 전반에 걸쳐 보안 관리가 미흡했던 것으로 나타났다. 불법 펨토셀이 KT 내부망에 접속하면서 통신 암호화가 해제됐고 인증정보가 평문으로 노출된 문제도 확인됐다.

악성코드 ‘BPF도어(BPFDoor)’ 감염과 관련한 보안 관리도 조사 대상에 포함됐다. 정부는 KT 서버 약 3만3000대를 점검해 94대에서 BPF도어와 루트킷 등 악성코드 103종을 확인했다. 개인정보위는 관련 서버 관리와 안전조치 의무 이행 여부 등을 함께 살펴본 것으로 알려졌다.

관심은 과징금 규모다. 현행 개인정보보호법은 전체 매출액의 최대 3% 범위에서 위반 행위와 관련 없는 매출액을 제외해 과징금을 산정하도록 규정한다. 실제 부과액을 결정하려면 KT의 어느 사업 매출까지 위반 행위와 관련된 것으로 볼지가 먼저 정해져야 한다.

KT의 최근 3년간 무선서비스 매출은 연평균 약 6조6689억원이다. 무선서비스 매출 전체를 관련 매출로 보고 상한인 3%를 단순 적용하면 과징금은 약 2000억원이다. 다만 이는 법정 상한을 기계적으로 계산한 수치로 실제 부과액과는 차이가 날 수 있다.

개인정보위는 관련 매출액을 확정한 뒤 위반 정도와 기간, 정보주체 피해 규모, 사고 대응 과정 등을 반영해 과징금을 가중하거나 감경한다. KT가 사고 이후 위약금 면제와 고객 보상, 정보보호 투자 확대 방안을 시행한 점은 감경 요소로 거론된다.

반면 감염 서버를 확인하고도 당국에 즉시 신고하지 않은 점과 전사 차원의 정보보호 거버넌스·자산 관리 체계가 미흡했던 점은 제재 수위를 높일 가능성이 있다. 개인정보위가 지난해 2300여만명의 개인정보가 유출된 SK텔레콤에 역대 최대인 1347억9100만원의 과징금을 부과한 만큼 KT에도 엄격한 책임을 물을지 주목된다.

오는 9월 시행되는 개인정보보호법상 최대 10%의 징벌적 과징금 특례는 이번 심의에 적용되지 않는다. 개인정보위는 현행 3% 상한을 기준으로 과징금과 시정명령 등 최종 처분 수위를 결정할 예정이다.