역대 정보유출 과징금…쿠팡·SKT·KT 무엇이 달랐나

전파가 안 닿는 집 안에 달아주는 통신사 소형 기지국이 해킹 통로가 돼 남의 휴대폰으로 소액결제까지 이뤄진 'KT 가짜 기지국' 사태에 540억원의 과징금이 내려졌다. 사고를 알고도 숨기고 조사를 방해한 행위는 과징금과 별개로 형사 절차로 넘어간다.

개인정보보호위원회는 지난 29일 제15회 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다. 쿠팡(6246억원), SK텔레콤(1347억9100만원)에 이어 개인정보위 과징금으로는 세 번째로 큰 규모다. 조사 과정에서 거짓 자료를 내고 로그를 지운 KT는 고발하고, 조사 착수 전 서버를 폐기한 LG유플러스는 공무집행방해 혐의로 수사의뢰하기로 했다.

개인정보위에 따르면 이번 처분은 지난해 통신업계를 흔든 '가짜 기지국' 해킹에 대한 제재다. 해커는 분실된 KT 소형 기지국(펨토셀)의 인증서를 복제해 만든 불법 장비로 2024년 10월부터 2025년 9월까지 약 11개월간 KT 내부망에 드나들며, 알뜰폰 포함 이용자 1만6647명의 휴대전화번호와 가입자·단말기 식별번호를 가로챘다. 결제 인증 문자·전화까지 탈취해 368명에게 약 2억4000만원의 무단 소액결제 피해를 입혔다. 개인정보위는 "유출에 그치지 않고 실제 금전 피해로 이어진 사례라는 점에서 심각성이 매우 크다"고 밝혔다.

개인정보위 조사 결과 KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP도 제한하지 않는 등 내부망 접근통제가 전반적으로 부실해, 11개월동안 이상 접속을 한 번도 탐지하지 못했다. KT는 예측 불가능한 신유형 공격이었다고 주장했지만 위원회는 받아들이지 않았다. 과징금은 사고가 난 이동통신 서비스의 5G·LTE 매출을 기준으로 산정했다.

고발 사유는 은폐다. KT는 2024년 3월 서버 38대가 악성코드에 감염돼 임직원·협력사 직원 정보가 유출된 정황이 있었는데도 정부에 신고하지 않고 자체 조치로 덮었다. 2025년 4월 전수점검 때는 감염 서버 10대의 로그를 지웠고, 개인정보위 조사에서 "보존 자료가 없다"고 진술했다가 디지털포렌식에 적발되자 뒤늦게 보관 중이던 로그를 냈다.

LG유플러스는 2025년 8월 미국 해킹 전문지 프랙(Phrack)의 발표로 침해가 알려진 뒤, 개인정보위 조사 착수 전에 통합 비밀번호 관리시스템(APPM) 등 관련 서버의 운영체제를 재설치하고 서버를 폐기해 유출 경위 확인 자체를 막았다.

두 회사의 처분이 고발과 수사의뢰로 갈린 것은 법의 공백 때문이다. 현행 개인정보 보호법은 '조사 중' 방해만 처벌할 수 있어, 조사 착수 전에 증거를 없앤 LG유플러스는 형법상 공무집행방해로 수사기관에 넘길 수밖에 없었다. 사고가 나면 증거를 미리 없애는 쪽이 오히려 유리한 사각지대가 있는 셈이다. 개인정보위는 조사 착수 전 증거 은닉·폐기 형사처벌 신설, 은닉·폐기 시 전체 매출액 3% 이내 과징금, 조사 비협조 시 일 매출액 0.3%의 이행강제금, 자료보전명령 도입 등 법 개정을 연내 추진한다.

KT는 3개월 안에 통신설비 취약점 점검과 개인정보 보호책임자(CPO)의 실질적 역할 수행을 포함한 재발 방지 대책을 세워 보고하고, 처분 사실을 자사 홈페이지에 공표해야 한다.

송경희 개인정보위 위원장은 "이번 처분이 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다"며 "자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 밝혔다.

KT 개인정보 유출 사고는 해커가 통신사의 소형 기지국을 복제해 핵심 통신망으로 들어왔다는 점에서 기존 해킹 사고와 다르다. 개인정보가 저장된 서버를 공격한 것이 아니라 이용자의 휴대전화와 통신망 사이에 끼어들어 통화와 문자 인증정보까지 가로챘다.

30일 개인정보보호위원회가 발표한 조사결과에 따르면 KT 공격의 출발점은 '펨토셀'이었다. 펨토셀은 가정이나 사무실, 지하처럼 이동통신 신호가 약한 곳에 설치하는 소형 기지국이다. KT 소유 장비로, 설치기사가 직접 설치하며 망 접속 승인과 인증서 발급, 내부망 접근 권한을 모두 KT가 관리한다.

해커는 유실된 KT 펨토셀에 저장된 인증서를 복사해 자체 제작한 장비에 삽입했다. 정상 장비의 신분증을 훔쳐 가짜 기지국에 붙인 셈이다. 이후 주변 이용자의 휴대전화가 이 불법 장비를 정상 기지국으로 인식해 연결되도록 유도했다.

휴대전화가 불법 펨토셀에 연결되자 해커는 단말기와 KT 내부망 사이를 오가는 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 가로챘다. 여기에 별도로 확보한 이름과 성별, 생년월일을 결합해 휴대전화 소액결제를 신청했다.

결제 승인에 필요한 인증도 같은 길목에서 뚫렸다. 인증코드가 담긴 문자메시지(SMS)와 자동응답전화(ARS)가 불법 펨토셀을 거쳐 전달됐고, 해커는 이를 탈취해 결제를 최종 승인했다. 368명이 약 2억4000만원의 피해를 봤다. 개인정보가 외부로 빠져나가는 데서 끝나지 않고 이동통신망을 통한 본인 인증 절차 자체가 무력화된 것이다.

개인정보위가 확인한 KT의 보안 허점은 한두 가지가 아니었다. 펨토셀 인증서의 유효기간이 10년에 달해 장비가 유실되거나 인증서가 복제돼도 장기간 악용될 수 있었지만, 이를 폐기하거나 갱신하는 통제는 작동하지 않았다.

내부망 접속 IP도 제한하지 않았다. KT가 관리하는 지정 회선뿐 아니라 다른 통신사나 해외 IP에서도 훔친 인증서만 있으면 접속할 수 있었다. 펨토셀 관리서버를 거치지 않고 핵심 통신망에 닿는 우회 경로도 있었다. 장비가 통신망에 접속할 때 부여되는 식별자인 셀 아이디(Cell ID)는 관리 자체를 하지 않아, 등록되지 않은 장비가 붙어도 탐지하거나 차단하지 못했다.

이 허점들이 겹치면서 해커는 2024년 10월부터 2025년 9월까지 약 11개월간 별도 인증 절차 없이 KT 내부망에 머물수 있었다. KT는 그동안 이상 징후를 한 번도 탐지하지 못했고, 부정결제 피해와 이용자 민원이 쌓인 뒤에야 비정상 접속을 식별했다.

KT는 심의 과정에서 해커가 직접 펨토셀을 제작한 전례 없는 유형의 공격이어서 예측이 어려웠다고 주장했다. 개인정보위의 판단은 달랐다. 펨토셀은 음영지역 이용자의 통신이 반드시 거쳐야 하는 필수 장비이고, 펨토셀을 통한 해킹은 해외 사례와 학계에서 보안 취약점 지적이 이어져 온 사안이라는 것이다. 수법의 새로움이 아니라 통신망 운영자가 지켜야 할 기본적인 접근통제 의무를 다했는지가 핵심이라는 의미다.

개인정보위는 KT에 펨토셀 등 무선통신망 장비 전반의 취약점을 점검하고 통신망 내 개인정보에 대한 접근통제를 강화하라고 시정명령했다. 일부 IT서비스에만 받아 둔 개인정보보호 관리체계(ISMS-P) 인증도 사고가 난 이동통신 네트워크·시스템까지 확대하라고 권고했다. 개인정보를 지키는 방어선이 서버가 아니라 통신망 그 자체라는 점을 확인한 처분이다.

개인정보보호위원회가 KT 정보유출 사고에 대해 과징금 539억7900만원을 부과했다고 30일 밝혔다.

개인정보위에 따르면 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 단말과 내부망 간 송·수신 정보를 가로챘다. 이를 추가로 확보한 개인정보와 결합해 휴대폰 소액결제를 요청한 뒤 결제인증코드가 포함된 ARS·SMS를 탈취해 무단 소액 결제에 성공했다.

조사 결과 KT 이용자 1만6647명의 개인정보가 유출됐으며 총 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제 피해가 발생한 것으로 확인됐다. 개인정보위는 유출된 개인정보가 실제 금전적 피해로 이어졌다는 점에서 심각성이 높다고 설명했다.

이번 사고는 KT가 펨토셀을 관리·운영하면서 KT 내부망에 대한 기본적인 접근통제 관리를 소홀히 한 것으로 드러났다. 내부망에 접속하는 펨토셀에 대해 접속 IP 제한을 하지 않아 타사 또는 해외 IP에서도 접속할 수 있었다. 또 비인가 셀 ID의 이상접속 행위에 대한 탐지·대응체계가 부재한 상태로 운영하고 펨토셀을 통한 KT 내부망의 개인정보처리시스템에 대한 접근통제 관리도 소홀했던 것으로 나타났다.

개인정보위는 전체 매출액의 3%를 초과하지 않는 범위에서 관련 매출액을 기준으로 과징금을 산정했다고 했다. 무단 소액결제 사고가 발생한 KT 이동통신서비스의 5G·LTE 통신 매출을 기준으로 과징금을 산정했고 IPTV·인터넷 통신 등 독립적인 매출액은 제외했다.

지난해 SK텔레콤 정보유출 사고 과징금(1347억9100만원) 처분과 금액적인 면에서 차이가 나는 이유는 유출된 정보의 유형과 피해 규모가 다르기 때문이다. SKT 사고는 중요 정보인 가입자식별번호가 유출됐고 피해 규모도 2000만명이 넘어 KT 사고보다 중대하다는 판단이다. 개인정보위는 SKT 사고를 매우 중대한 위반행위, KT는 중대한 위반행위로 규정했다. 피해보상과 시정조치가 빠르게 이뤄졌다는 점은 감경 요소로 작용했다.

KT는 2024년 3월 자사 서버 악성코드 감염 사실을 최초로 인지하고도 침해사실을 신고하지 않았고 개인정보 유출 여부에 대한 상세 분석을 진행하지 않은 채 자체적으로 조치한 사실도 밝혀졌다. KT는 침해 발생 서버 일부의 로그를 삭제하는 등 조직적으로 침해사실을 은폐하기도 했다. 조사 과정에서는 감염서버에 대한 보존 자료가 없다고 거짓 진술했고 뒤늦게 로그를 제출하는 등 사고조사를 실질적으로 방해했다. 개인정보위는 이런 혐의로 KT를 고발하기로 했다.

한편 개인정보위는 이날 LG유플러스에 대해서는 수사를 의뢰하기로 했다. LG유플러스가 개인정보위의 조사 착수 전 APPM 서버 등 관련 서버의 운영체제를 재설치하거나 폐기해 정확한 유출 경위 및 추가 유출 여부 등을 확인하기가 어려워졌기 때문이다.

KT가 해킹 사태 관련 안전조치 의무 위반으로 500억원대 과징금을 부과받았다. 2만명에 못 미치는 피해 규모에 앞선 사건에 비해 과도한 금액이라는 해석도 나온다.

개인정보보호위원회는 지난 29일 제15회 전체회의를 열고 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다. 과징금 비율은 부과 기준인 2022~2024년 5G·LTE 사업 매출(6조 5000억원)의 0.8% 수준이다.

SK텔레콤(1%)과는 유사하고 쿠팡(1.8%)보다는 적은 비율이다. 개인정보위는 조사 결과 총 1만6647명의 휴대 전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 개인정보가 유출됐다고 밝혔다. KT는 2만2227명으로 신고했으나 법인·다중 회선 등 중복을 제하니 피해 규모가 줄었다. SKT와 쿠팡이 각각 2300만명, 3700만명의 개인정보가 유출됐던 것과 비교하면 유출 규모는 1000분의 1 수준인 셈이다.

유출 규모에 비해 과징금 비율이 큰 건 실제 금전적 피해가 발생한 점이 원인으로 꼽힌다. 해커는 결제인증 코드가 포함된 ARS, SMS 등을 탈취해 총 368명에게 2억4300만원(777건) 규모의 무단 소액결제 피해를 줬다. 최경진 가천대 법학과 교수(한국인공지능법학회장)는 "피해 규모에 비해 과징금 규모가 크다"며 "개인정보위가 단순 유출을 넘어 실제 피해로 이어진 경우에 대한 경종을 울린 것"이라고 해석했다.

업계는 KT가 해킹 통로였던 '펨토셀'을 전면 교체하는 등 후속 조치를 완료했음에도 수백억원대 과징금이 부과돼 놀란 반응이다. 유심(USIM) 인증키가 유출되지 않아 2차 피해 가능성이 낮았다는 점, 쿠팡처럼 구매정보·주소·현관 비밀번호 등 민감 정보가 유출되지 않았다는 점도 큰 영향을 미치지 못했다. 최 교수는 "조사 과정 중 밝혀진 2024년 악성코드 감염 사실 은폐 의혹이 괘씸죄가 돼 과징금을 불린 면도 있을 것"이라고 말했다.

다만 징벌적 과징금에 대해서는 회의론도 제기된다. 이성엽 고려대 기술경영전문대학원 교수는 "부당이득이 없음에도 과징금이라는 금전적 페널티를 부과하는 것에 이론적 문제가 있다고 본다"며 "SKT나 쿠팡도 마찬가지지만 과징금이 적정히 산정됐는지는 추후 소송에서 검증될 것"이라고 밝혔다. 이어 "가중·감경 비율이 어떻게 되는지 등 과징금 산정 과정이 투명하게 공개되지 않는다"며 "이 때문에 전문가 간 논의가 어렵다"는 아쉬움도 표했다.

박춘식 전 아주대 사이버보안학과 교수도 "규제 일변도가 능사가 아닌 만큼, 과징금 일부를 중소·중견기업 보안 강화 예산으로 쓰는 등 정부 당국이 사전 방지에도 신경 써야 한다"고 말했다.

KT는 재발 방지에 만전을 기한다는 입장이다. KT 관계자는 "처분 결과를 무겁게 받아들인다. 심려와 불안을 끼쳐 죄송하다"며 "개인정보보호 보호 체계를 원점에서 재정비하고 있으며 보안 투자 확대, 전사적 개인정보보호 역량 강화 등 사태 재발 방지와 신뢰 회복에 노력을 기울이겠다"고 밝혔다.