개인정보보호위원회가 KT(53,500원 ▼300 -0.56%) 정보유출 사고에 대해 과징금 539억7900만원을 부과했다고 30일 밝혔다.
개인정보위에 따르면 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 단말과 내부망 간 송·수신 정보를 가로챘다. 이를 추가로 확보한 개인정보와 결합해 휴대폰 소액결제를 요청한 뒤 결제인증코드가 포함된 ARS·SMS를 탈취해 무단 소액 결제에 성공했다.
조사 결과 KT 이용자 1만6647명의 개인정보가 유출됐으며 총 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제 피해가 발생한 것으로 확인됐다. 개인정보위는 유출된 개인정보가 실제 금전적 피해로 이어졌다는 점에서 심각성이 높다고 설명했다.
이번 사고는 KT가 펨토셀을 관리·운영하면서 KT 내부망에 대한 기본적인 접근통제 관리를 소홀히 한 것으로 드러났다. 내부망에 접속하는 펨토셀에 대해 접속 IP 제한을 하지 않아 타사 또는 해외 IP에서도 접속할 수 있었다. 또 비인가 셀 ID의 이상접속 행위에 대한 탐지·대응체계가 부재한 상태로 운영하고 펨토셀을 통한 KT 내부망의 개인정보처리시스템에 대한 접근통제 관리도 소홀했던 것으로 나타났다.
개인정보위는 전체 매출액의 3%를 초과하지 않는 범위에서 관련 매출액을 기준으로 과징금을 산정했다고 했다. 무단 소액결제 사고가 발생한 KT 이동통신서비스의 5G·LTE 통신 매출을 기준으로 과징금을 산정했고 IPTV·인터넷 통신 등 독립적인 매출액은 제외했다.
지난해 SK텔레콤(78,900원 ▲300 +0.38%) 정보유출 사고 과징금(1347억9100만원) 처분과 금액적인 면에서 차이가 나는 이유는 유출된 정보의 유형과 피해 규모가 다르기 때문이다. SKT 사고는 중요 정보인 가입자식별번호가 유출됐고 피해 규모도 2000만명이 넘어 KT 사고보다 중대하다는 판단이다. 개인정보위는 SKT 사고를 매우 중대한 위반행위, KT는 중대한 위반행위로 규정했다. 피해보상과 시정조치가 빠르게 이뤄졌다는 점은 감경 요소로 작용했다.
KT는 2024년 3월 자사 서버 악성코드 감염 사실을 최초로 인지하고도 침해사실을 신고하지 않았고 개인정보 유출 여부에 대한 상세 분석을 진행하지 않은 채 자체적으로 조치한 사실도 밝혀졌다. KT는 침해 발생 서버 일부의 로그를 삭제하는 등 조직적으로 침해사실을 은폐하기도 했다. 조사 과정에서는 감염서버에 대한 보존 자료가 없다고 거짓 진술했고 뒤늦게 로그를 제출하는 등 사고조사를 실질적으로 방해했다. 개인정보위는 이런 혐의로 KT를 고발하기로 했다.
독자들의 PICK!
한편 개인정보위는 이날 LG유플러스(15,410원 ▲1,000 +6.94%)에 대해서는 수사를 의뢰하기로 했다. LG유플러스가 개인정보위의 조사 착수 전 APPM 서버 등 관련 서버의 운영체제를 재설치하거나 폐기해 정확한 유출 경위 및 추가 유출 여부 등을 확인하기가 어려워졌기 때문이다.