개인정보위, 1만6647명 개인정보 유출 KT에 과징금 540억

전파가 안 닿는 집 안에 달아주는 통신사 소형 기지국이 해킹 통로가 돼 남의 휴대폰으로 소액결제까지 이뤄진 'KT 가짜 기지국' 사태에 540억원의 과징금이 내려졌다. 사고를 알고도 숨기고 조사를 방해한 행위는 과징금과 별개로 형사 절차로 넘어간다.

개인정보보호위원회는 지난 29일 제15회 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 KT(54,500원 ▲700 +1.3%)에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다. 쿠팡(6246억원), SK텔레콤(81,000원 ▲2,400 +3.05%)(1347억9100만원)에 이어 개인정보위 과징금으로는 세 번째로 큰 규모다. 조사 과정에서 거짓 자료를 내고 로그를 지운 KT는 고발하고, 조사 착수 전 서버를 폐기한 LG유플러스(15,600원 ▲1,190 +8.26%)는 공무집행방해 혐의로 수사의뢰하기로 했다.

개인정보위에 따르면 이번 처분은 지난해 통신업계를 흔든 '가짜 기지국' 해킹에 대한 제재다. 해커는 분실된 KT 소형 기지국(펨토셀)의 인증서를 복제해 만든 불법 장비로 2024년 10월부터 2025년 9월까지 약 11개월간 KT 내부망에 드나들며, 알뜰폰 포함 이용자 1만6647명의 휴대전화번호와 가입자·단말기 식별번호를 가로챘다. 결제 인증 문자·전화까지 탈취해 368명에게 약 2억4000만원의 무단 소액결제 피해를 입혔다. 개인정보위는 "유출에 그치지 않고 실제 금전 피해로 이어진 사례라는 점에서 심각성이 매우 크다"고 밝혔다.

개인정보위 조사 결과 KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP도 제한하지 않는 등 내부망 접근통제가 전반적으로 부실해, 11개월동안 이상 접속을 한 번도 탐지하지 못했다. KT는 예측 불가능한 신유형 공격이었다고 주장했지만 위원회는 받아들이지 않았다. 과징금은 사고가 난 이동통신 서비스의 5G·LTE 매출을 기준으로 산정했다.

고발 사유는 은폐다. KT는 2024년 3월 서버 38대가 악성코드에 감염돼 임직원·협력사 직원 정보가 유출된 정황이 있었는데도 정부에 신고하지 않고 자체 조치로 덮었다. 2025년 4월 전수점검 때는 감염 서버 10대의 로그를 지웠고, 개인정보위 조사에서 "보존 자료가 없다"고 진술했다가 디지털포렌식에 적발되자 뒤늦게 보관 중이던 로그를 냈다.

LG유플러스는 2025년 8월 미국 해킹 전문지 프랙(Phrack)의 발표로 침해가 알려진 뒤, 개인정보위 조사 착수 전에 통합 비밀번호 관리시스템(APPM) 등 관련 서버의 운영체제를 재설치하고 서버를 폐기해 유출 경위 확인 자체를 막았다.

두 회사의 처분이 고발과 수사의뢰로 갈린 것은 법의 공백 때문이다. 현행 개인정보 보호법은 '조사 중' 방해만 처벌할 수 있어, 조사 착수 전에 증거를 없앤 LG유플러스는 형법상 공무집행방해로 수사기관에 넘길 수밖에 없었다. 사고가 나면 증거를 미리 없애는 쪽이 오히려 유리한 사각지대가 있는 셈이다. 개인정보위는 조사 착수 전 증거 은닉·폐기 형사처벌 신설, 은닉·폐기 시 전체 매출액 3% 이내 과징금, 조사 비협조 시 일 매출액 0.3%의 이행강제금, 자료보전명령 도입 등 법 개정을 연내 추진한다.

KT는 3개월 안에 통신설비 취약점 점검과 개인정보 보호책임자(CPO)의 실질적 역할 수행을 포함한 재발 방지 대책을 세워 보고하고, 처분 사실을 자사 홈페이지에 공표해야 한다.

송경희 개인정보위 위원장은 "이번 처분이 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다"며 "자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 밝혔다.