KT가 해킹 사태 관련 안전조치 의무 위반으로 500억원대 과징금을 부과받았다. 2만명에 못 미치는 피해 규모에 앞선 사건에 비해 과도한 금액이라는 해석도 나온다.
개인정보보호위원회는 지난 29일 제15회 전체회의를 열고 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다. 과징금 비율은 부과 기준인 2022~2024년 5G·LTE 사업 매출(6조 5000억원)의 0.8% 수준이다.
SK텔레콤(1%)과는 유사하고 쿠팡(1.8%)보다는 적은 비율이다. 개인정보위는 조사 결과 총 1만6647명의 휴대 전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 개인정보가 유출됐다고 밝혔다. KT는 2만2227명으로 신고했으나 법인·다중 회선 등 중복을 제하니 피해 규모가 줄었다. SKT와 쿠팡이 각각 2300만명, 3700만명의 개인정보가 유출됐던 것과 비교하면 유출 규모는 1000분의 1 수준인 셈이다.
유출 규모에 비해 과징금 비율이 큰 건 실제 금전적 피해가 발생한 점이 원인으로 꼽힌다. 해커는 결제인증 코드가 포함된 ARS, SMS 등을 탈취해 총 368명에게 2억4300만원(777건) 규모의 무단 소액결제 피해를 줬다. 최경진 가천대 법학과 교수(한국인공지능법학회장)는 "피해 규모에 비해 과징금 규모가 크다"며 "개인정보위가 단순 유출을 넘어 실제 피해로 이어진 경우에 대한 경종을 울린 것"이라고 해석했다.
업계는 KT가 해킹 통로였던 '펨토셀'을 전면 교체하는 등 후속 조치를 완료했음에도 수백억원대 과징금이 부과돼 놀란 반응이다. 유심(USIM) 인증키가 유출되지 않아 2차 피해 가능성이 낮았다는 점, 쿠팡처럼 구매정보·주소·현관 비밀번호 등 민감 정보가 유출되지 않았다는 점도 큰 영향을 미치지 못했다. 최 교수는 "조사 과정 중 밝혀진 2024년 악성코드 감염 사실 은폐 의혹이 괘씸죄가 돼 과징금을 불린 면도 있을 것"이라고 말했다.
다만 징벌적 과징금에 대해서는 회의론도 제기된다. 이성엽 고려대 기술경영전문대학원 교수는 "부당이득이 없음에도 과징금이라는 금전적 페널티를 부과하는 것에 이론적 문제가 있다고 본다"며 "SKT나 쿠팡도 마찬가지지만 과징금이 적정히 산정됐는지는 추후 소송에서 검증될 것"이라고 밝혔다. 이어 "가중·감경 비율이 어떻게 되는지 등 과징금 산정 과정이 투명하게 공개되지 않는다"며 "이 때문에 전문가 간 논의가 어렵다"는 아쉬움도 표했다.
박춘식 전 아주대 사이버보안학과 교수도 "규제 일변도가 능사가 아닌 만큼, 과징금 일부를 중소·중견기업 보안 강화 예산으로 쓰는 등 정부 당국이 사전 방지에도 신경 써야 한다"고 말했다.
KT는 재발 방지에 만전을 기한다는 입장이다. KT 관계자는 "처분 결과를 무겁게 받아들인다. 심려와 불안을 끼쳐 죄송하다"며 "개인정보보호 보호 체계를 원점에서 재정비하고 있으며 보안 투자 확대, 전사적 개인정보보호 역량 강화 등 사태 재발 방지와 신뢰 회복에 노력을 기울이겠다"고 밝혔다.