'가짜 기지국 해킹' 관련 처분
로그 삭제 등 은폐 혐의 고발
피해 비해 제재 과도 의견도
KT "재발방지 만전 기할것"
개인정보보호위원회(이하 개인정보위)가 KT 정보유출 사고에 대해 과징금 539억7900만원을 부과했다.
개인정보위는 지난 29일 제15회 전체회의를 열어 개인정보보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다. 쿠팡(6246억원)과 SK텔레콤(SKT·1347억9100만원)에 이어 개인정보위 과징금으로는 세 번째로 큰 규모다. 조사과정에서 거짓자료를 내고 로그를 지운 KT는 고발하고 조사착수 전 서버를 폐기한 LG유플러스는 공무집행방해 혐의로 수사를 의뢰하기로 했다.
개인정보위에 따르면 이번 처분은 지난해 통신업계를 흔든 '가짜 기지국' 해킹에 대한 제재다. 해커는 분실된 KT 소형 기지국(펨토셀)의 인증서를 복제해 만든 불법장비로 2024년 10월부터 2025년 9월까지 약 11개월간 KT 내부망에 드나들며 알뜰폰 포함 사용자 1만6647명의 휴대전화번호와 가입자·단말기 식별번호를 가로챘다. 결제인증 문자·전화까지 탈취해 368명에게 약 2억4000만원의 무단 소액결제 피해를 입혔다. 개인정보위는 "유출에 그치지 않고 실제 금전적 피해로 이어진 사례라는 점에서 심각성이 매우 크다"고 밝혔다.
고발사유는 은폐다. KT는 2024년 3월 서버 38대가 악성코드에 감염돼 임직원·협력사 직원의 정보가 유출된 정황이 있었는데도 정부에 신고하지 않고 자체조치로 덮었다. LG유플러스는 2025년 8월 미국 해킹전문지 프랙(Phrack)의 발표로 침해가 알려진 뒤 조사에 착수하기 전 APPM(통합 비밀번호 관리시스템) 등 관련 서버의 운영체제를 재설치하고 서버를 폐기해 유출경위 확인 자체를 막았다.
2만명에 못 미치는 피해규모에 비해 과징금이 과도하다는 해석도 나온다. KT의 과징금 비율은 부과기준인 2022~2024년 5G(5세대 이동통신)·LTE(4세대) 사업매출(6조 5000억원)의 0.8% 수준이다. SKT(1%)와는 유사하고 쿠팡(1.8%)보다는 적은 비율이다. SKT와 쿠팡이 각각 2300만명, 3700만명의 개인정보가 유출된 것과 비교하면 유출규모는 1000분의1 수준인 셈이다.
유출규모에 비해 과징금 비율이 큰 요인으로는 실제 금전적 피해가 발생한 점이 꼽힌다. 최경진 가천대 법학과 교수(한국인공지능법학회장)는 "피해규모에 비해 과징금 규모가 크다"며 "개인정보위가 단순 유출을 넘어 실제 피해로 이어진 것에 대한 경종을 울린 것"이라고 해석했다.
독자들의 PICK!
업계는 KT가 해킹통로인 '펨토셀'을 전면교체하는 등 후속조치를 완료했음에도 수백억 원의 과징금이 부과돼 놀란 반응을 보인다. 유심(USIM·가입자식별모듈) 인증키가 유출되지 않아 2차 피해 가능성이 낮았다는 점, 쿠팡처럼 구매정보·주소·현관 비밀번호 등 민감정보가 유출되지 않았다는 점도 큰 영향을 미치지 못했다. 최 교수는 "조사과정 중 밝혀진 2024년 악성코드 감염사실 은폐의혹이 괘씸죄가 돼 과징금을 불린 면도 있을 것"이라고 말했다.
다만 징벌적 과징금에 대해서는 회의론도 제기된다. 이성엽 고려대 기술경영전문대학원 교수는 "부당이득이 없음에도 과징금이라는 금전적 페널티를 부과하는 것에 이론적 문제가 있다고 본다"며 "SKT나 쿠팡도 마찬가지지만 과징금이 적정하게 산정됐는지는 추후 검증될 것"이라고 밝혔다.
KT는 재발방지에 만전을 기한다는 입장이다. KT 관계자는 "처분결과를 무겁게 받아들인다. 심려와 불안을 끼쳐 죄송하다"며 "개인정보보호 체계를 원점에서 재정비하고 보안투자 확대, 전사적 개인정보보호 역량강화 등 사태 재발방지와 신뢰회복을 위한 노력을 기울이겠다"고 밝혔다.
