금전 피해·해킹 은폐까지…KT, 과징금 규모 촉각

[프라임경제] 지난해 개인정보 유출 사태가 발생한 KT(030200)에 대한 개인정보보호위원회(이하 개인정보위)의 제재 수위가 29일 결정된다. 실질적 금전 피해가 발생한 점, 해킹 사실을 은폐한 점 등이 제재 수위에 영향을 미칠 것으로 관측된다. 

29일 업계에 따르면 개인정보위는 이날 전체회의를 열고 KT의 개인정보보호법 위반에 따른 과징금 부과와 시정명령 등 제재안을 심의·의결한다.

개인정보위는 지난 5월 KT 개인정보유출 사고에 대한 조사 절차를 마무리하고, 예정된 처분 내용과 의견 제출 기한, 증거자료 목록 등이 포함된 사전통지서를 발송한 바 있다. 

앞서 KT는 지난해 9월 불법 소형 기지국(펨토셀)을 악용한 공격으로 수도권 서남부 지역 가입자 2만2227명의 가입자식별번호(IMSI), 단말기식별번호(IMEI) 및 전화번호 등 개인정보가 유출되는 사고가 발생했다.

과학기술정보통신부 민관합동조사단의 조사 결과 KT 펨토셀 해킹으로 개인정보 유출 피해자 가운데 368명은 총 777건, 약 2억4300만원 규모의 무단 소액결제 피해를 본 것으로 확인됐다. 

KT의 펨토셀 관리 체계가 전반적으로 부실해 불법 펨토셀이 KT 내부망에 쉽게 접속할 수 있는 환경이었던 것으로 드러났다.

개인정보위는 KT 서버의 악성코드 'BPF도어(BPFDoor)' 감염과 관련해서도 추가 조사를 진행했다. BPF도어는 SK텔레콤의 유심(USIM) 정보 해킹 사태 당시에도 공격에 쓰였다.

업계에서는 침해 사고 피해 고객 일부에게 실제 금전 피해가 발생한 점과 사고 과정에서의 사실을 은폐한 점 등을 제재 수위를 가를 핵심 변수로 보고 있다. 

KT는 지난해 3∼7월 BPF도어, 웹셸 등 악성코드 감염서버 43대를 발견해 정부에 신고 없이 자체 처리했다. 

아울러 국제 보안업체 '프랙'이 KT 인증서 유출 가능성을 제기하자 KT는 조사단에 지난해 8월1일 관련 서버를 모두 폐기했다고 허위 보고했다. 실제로는 8월1일부터 13일까지 서버 폐기를 지속했다.

최대 쟁점은 관련 매출액의 범위다. 현행 개인정보보호법상 위반 행위와 관련된 매출액의 최대 3%까지 과징금을 부과할 수 있다.

앞서 개인정보위는 SK텔레콤(017670) 과징금 산정 당시 회사 전체 매출을 적용하지 않고 사건과 관련 없는 매출을 제외한 LTE·5G 이동통신 서비스 관련 매출을 기준으로 과징금을 산정했다. 

KT의 최근 3년간 무선서비스 매출은 연평균 약 6조6689억원으로, 법정 상한을 단순 적용하면 과징금 규모는 약 2000억원 수준이다.

다만 실제 부과액은 위반 행위와 관련된 매출액 산정 범위와 위반 정도, 사고 대응 노력을 비롯한 감경·가중 사유 등을 종합적으로 고려해 결정된다.

KT가 피해자 대상 보상 조치 실시, 정보보안 분야 대규모 투자 계획 및 재발 방지책 마련 등이 과징금 감경 요인으로 작용할 전망이다.

KT는 올해 초 개인정보유출 사고에 대한 책임 조치로 2주간 위약금 면제를 시행했다. 통신·콘텐츠·생활 관련 혜택을 제공하는 '고객 보답 프로그램'도 6개월간 운영했다. 

업계 관계자는 "작년부터 계속 해킹 사고가 계속 발생하고 있는데 KT는 금전적 피해가 실제로 발생했고, 해킹 사실을 은폐했기 때문에 다른 기업들과 다르게 볼 것"이라며 "개인정보위가 이를 어떻게 판단해서 과징금을 부과할지가 관건"이라고 말했다.