[딜사이트 최령 기자] KT가 펨토셀을 통한 개인정보 유출 사고로 개인정보보호위원회(개인정보위)로부터 539억7900만원의 과징금을 부과받았다. 이번 처분은 실제 금전 피해로 이어진 펨토셀 사고에 대한 첫 제재로 별도로 조사 중인 악성코드 감염 사건은 수사 결과에 따라 추가 처분이 내려질 가능성이 남아 있다. 지난해 해킹 사고 이후 대규모 정보보호 투자 확대에 나선 KT는 추가 조사 결과에 따라 규제 리스크를 당분간 안게 될 전망이다.

30일 개인정보보호위원회는 전날 열린 제15회 전체회의에서 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 공표명령을 의결했다고 밝혔다. 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 행위에 대해서는 KT를 고발하기로 했다.

이번 처분은 지난해 발생한 펨토셀 개인정보 유출 사고에 대한 것이다. 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속했고 이용자 단말이 해당 장비를 경유하도록 유도해 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 가로챘다. 이후 별도로 확보한 개인정보와 결합해 소액결제를 시도하고 인증 문자와 ARS까지 탈취하는 방식으로 결제를 진행했다.

이 과정에서 KT 이용자 1만6647명의 개인정보가 유출됐고 368명을 대상으로 약 2억4000만원 규모의 무단 소액결제 피해가 발생했다. 이는 민관합동조사단이 지난해 발표한 유출 규모(2만2227명)보다 줄어든 수치다. 개인정보위는 조사 과정에서 중복 가입자를 제외하고 실제 유출이 확인된 이용자를 기준으로 최종 유출 규모를 산정했다고 설명했다.

양청삼 개인정보위 사무처장은 이날 브리핑에서 "이번 사건은 단순 개인정보 유출에 그치지 않고 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 심각성이 매우 크다"며 "대규모 개인정보를 처리하는 이동통신사업자인 KT가 필수적인 안전조치 의무를 소홀히 한 행위에 대해 과징금을 부과했다"고 말했다.

개인정보위는 사고 원인으로 KT의 펨토셀 관리 부실을 지목했다. KT는 내부망 접속을 위한 펨토셀 인증서 유효기간을 10년으로 설정했고 접속 IP도 자사 대역으로 제한하지 않았다. 또 펨토셀 식별자인 셀 아이디(Cell ID)를 관리하지 않아 비인가 장비의 이상 접속을 탐지하지 못했고 해커가 약 11개월 동안 KT 내부망에 접속했지만 KT는 이를 인지하지 못한 것으로 조사됐다.

과징금은 KT의 LTE·5G 이동통신 관련 매출을 기준으로 산정됐다. 개인정보위는 실제 금전 피해가 발생한 점을 중대하게 고려했지만 유출 규모가 1만6647명으로 상대적으로 크지 않았고 유출 정보도 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등에 한정돼 가입자 인증정보까지 유출된 기존 사례와는 차이가 있다는 점을 함께 반영했다. 피해 보상과 사고 이후 시정조치 등도 종합적으로 고려했다.

양 사무처장은 "2차 피해가 발생했다는 점은 위원들이 굉장히 심각한 요소로 봤다"면서도 "확인된 유출 규모와 정보의 유형, 피해 보상 등을 함께 감안했다"고 설명했다. 또 그는 실제 금전 피해의 중대성과 유출 정보의 유형·규모를 어떻게 평가할지를 두고 위원들 사이에서도 치열한 논의가 있었다고 전했다.

개인정보위는 다른 통신사 사례와 단순 비교하기는 어렵다고도 선을 그었다. 양 사무처장은 "KT 사건은 LTE·5G 무선통신 매출을 기준으로 위반 기간과 피해 규모 등을 종합적으로 반영했다"고 설명했다. 이어 배석한 조사 담당 과장은 "기존 사례는 가입자 인증정보가 유출됐고 피해 규모도 2000만명을 넘었던 만큼 개인정보의 유형과 규모 측면에서 이번 사건과 차이가 있어 중대성 판단도 달랐다"고 부연했다.

이번 처분은 KT가 해킹 사고 이후 대규모 정보보호 투자와 고객 신뢰 회복 대책을 잇달아 내놓는 가운데 나왔다는 점에서도 눈길을 끈다. KT는 지난해 해킹 사고 이후 유심 무상 교체와 약 4500억원 규모의 고객 보답 프로그램을 시행한 데 이어 향후 5년간 약 1조원의 정보보안 투자 계획을 발표했다. 이후 박윤영 대표는 취임 100일 기자간담회에서 정보보안·IT 혁신 분야에 향후 3년간 4조원을 투입하겠다는 계획을 추가로 공개하며 보안 투자 확대 기조를 이어갔다.

다만 개인정보위는 이번 과징금이 펨토셀 사고에 대한 처분일 뿐 악성코드 감염 사건은 여전히 조사 중이라는 점을 분명히 했다. 양 사무처장은 "이번 제재 처분은 소액결제 건에 대한 것이고 악성코드 건은 남아 있는 상태"라며 "행정조사만으로 확보할 수 있는 증거에는 한계가 있어 고발과 수사를 통해 새로운 사실이 확인되면 별도의 처분이 예정돼 있다"고 밝혔다.

실제로 개인정보위는 펨토셀 사고 조사 과정에서 KT가 2024년 3월 로밍렌탈서비스 홈페이지 해킹으로 38대 서버가 악성코드에 감염된 사실을 확인했다. 이 과정에서 임직원과 협력사 직원 일부의 개인정보가 조회·유출된 정황도 확인됐지만 사고 당시 로그가 삭제돼 이용자 개인정보 추가 유출 여부는 확인하지 못했다. 개인정보위는 KT가 당시 침해 사실을 정부에 신고하지 않았고 이후 일부 로그를 삭제하거나 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해했다고 판단해 별도 고발을 의결했다.

개인정보위는 이와 함께 조사 착수 전 증거를 은닉하거나 폐기하는 행위에 대한 제재가 미비하다고 보고 개인정보 보호법 개정을 추진하기로 했다. 조사 착수 전 증거 은닉·폐기에 대한 형사처벌과 과징금 부과 근거를 신설하고 조사 비협조 사업자에 대해서는 이행강제금을 부과하는 방안 등을 추진할 계획이다.

이번 과징금이 KT 재무에 미치는 직접적인 영향은 제한적이라는 평가다. 실제 KT의 올해 1분기 별도 기준 현금및현금성자산은 1조2689억원이다. 다만 악성코드 감염 사건에 대한 추가 제재 가능성과 정보보호 투자 확대가 맞물리면서 관련 비용과 규제 불확실성은 당분간 이어질 것으로 전망된다.

KT는 "개인정보보호위원회의 처분 결과를 무겁게 받아들이며 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다"며 "개인정보 보호 체계 전반을 원점에서 재정비하고 보안 투자를 확대하는 등 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 밝혔다.