1만6647명 정보 유출·368명 무단결제…KT 540억원 과징금·고발

[마이데일리 = 박성규 기자] KT가 불법 소형기지국 ‘펨토셀’을 통한 개인정보 유출과 무단 소액결제 사고로 539억7900만원의 과징금을 부과받았다. 악성코드 감염 서버의 로그를 삭제하고 조사 과정에서 사실과 다른 진술을 한 혐의로 수사기관 고발도 결정됐다.

30일 개인정보보호위원회에 따르면 전날 전체회의를 열고 개인정보보호법을 위반한 KT에 과징금 539억7900만원과 시정명령, 개선권고, 공표명령을 의결했다.

조사 결과 공격자는 유실된 KT 펨토셀에서 추출한 인증서를 불법 장비에 적용해 KT 내부망에 침입했다. 이후 이용자의 통신 정보를 가로채 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 결제를 시도했다.

이 과정에서 알뜰폰 가입자를 포함한 1만6647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 368명은 약 2억4000만원의 소액결제 피해를 봤다.

KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않았다. 비인가 장비의 이상 접속을 탐지하는 체계도 갖추지 않아 공격자는 2024년 10월부터 지난해 9월까지 약 11개월간 내부망에 접근했다.

별도 악성코드 감염 사고를 처리하는 과정에서는 조사 방해 정황도 확인됐다. KT는 2024년 로밍렌탈서비스 관련 서버 38대가 악성코드에 감염된 사실을 인지하고도 신고하지 않았으며, 지난해 4월 침해 서버 10대의 로그를 삭제한 것으로 조사됐다.

KT는 개인정보위 조사 초기 보존 자료가 없다고 진술했지만 디지털 포렌식으로 삭제 정황이 드러나자 별도로 보관하던 로그를 제출했다. 개인정보위는 이를 법 위반 사실을 은폐하거나 축소하기 위한 조사 방해로 보고 고발하기로 했다.

KT는 “처분 결과를 무겁게 받아들인다”며 “개인정보보호 체계를 원점에서 재정비하고 보안 투자 확대와 전사적 역량 강화에 나서겠다”고 밝혔다. 처분에 대한 법적 대응 여부는 의결서를 검토한 뒤 결정할 방침이다.

개인정보위는 개인정보 유출 의혹 조사 전에 관련 서버의 운영체제를 재설치하거나 폐기한 LG유플러스에 대해서도 공무집행방해 혐의로 수사를 의뢰하기로 했다.

LG유플러스는 “동일 사안에 대한 경찰 수사에 성실히 임하겠다”고 말했다.