11개월간 뚫려 있던 통신망 보안
KT가 불법 소형 기지국인 펨토셀을 이용한 해킹 사고로 개인정보보호위원회로부터 539억 원이 넘는 과징금을 부과받았습니다. 해커들은 유실된 펨토셀에서 인증서를 추출해 불법 장비에 심었고, 이를 이용해 2024년 10월부터 2025년 9월까지 무려 11개월간 KT 내부망에 접속할 수 있었는데요. 이 과정에서 이용자 1만 6,647명의 휴대전화번호와 단말기 식별번호 등이 유출되었고, 결제 인증 문자를 가로채 368명에게 약 2억 4천만 원의 무단 소액결제 피해가 발생했습니다.
문제는 KT가 이 상황을 제때 파악하지 못했다는 점입니다. 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP를 제한하지 않는 등 기본적인 안전조치가 허술했기 때문인데요. 소액결제 민원이 잇따라 접수된 뒤에야 비로소 불법 접속 사실을 인지하는 어이없는 대응이 드러났습니다. 개인정보위는 이러한 관리 소홀의 심각성을 고려해 이번 과징금을 부과했으며, 이는 쿠팡과 SK텔레콤에 이어 역대 4번째로 큰 규모입니다.
사고 은폐 시도가 키운 과징금
이번 과징금이 유출 규모에 비해 상당히 무거운 이유는 KT의 사고 대응 방식 때문입니다. KT는 2024년 3월 서버 38대가 악성코드에 감염된 사실을 인지하고도 정부에 신고하지 않은 채 자체 조치로 덮었습니다. 더욱이 조사 과정에서는 서버 로그를 삭제하고 보존 자료가 없다고 거짓 진술을 하는 등 적극적인 증거 인멸 시도를 보였는데요. 개인정보위는 이러한 조사 방해 행위를 중대한 가중 요소로 판단해 과징금 규모를 높였고, 별도로 경찰에 고발 조치까지 내렸습니다.
과징금 산정 기준은 KT의 LTE 및 5G 무선통신 매출액을 바탕으로 이루어졌습니다. SK텔레콤이 2천만 명 이상의 정보 유출로 1,348억 원을 부과받은 것과 비교하면 유출 규모는 작지만, 금전적 2차 피해가 발생하고 사실을 은폐하려 한 점이 크게 작용했습니다. KT는 이번 처분 결과를 무겁게 받아들인다며 보안 투자 확대와 개인정보보호 체계 재정비를 약속했습니다.
통신사 보안 관리 전면 재점검 필요
이번 사고는 KT만의 문제는 아닌 것으로 보입니다. LG유플러스 역시 개인정보 유출 의혹 조사가 시작되기 전 관련 서버의 운영체제를 재설치하고 서버를 폐기해 사실 확인을 어렵게 만든 혐의로 수사가 의뢰되었습니다. 개인정보위는 이러한 증거 은닉 및 폐기 행위를 막기 위해 관련 규정의 허점을 보완할 계획인데요. 향후 조사 착수 전이라 하더라도 증거를 없앤 경우 매출액의 3%까지 과징금을 부과하는 제도를 신설하는 방안을 추진하고 있습니다.
정부 조사는 일단락되었지만 KT의 법적 리스크는 여전합니다. 과징금 불복을 위한 행정소송 가능성도 제기되고 있으며, 피해자들의 집단 손해배상 소송이 잇따를 전망입니다. 특히 민주당이 검토 중인 집단소송제가 소급 적용될 경우 재무적 부담은 더욱 커질 수 있습니다. 통신사들이 기본적인 보안 관리와 더불어 사고 발생 시 투명한 공개와 신속한 대응을 보여야 하는 이유입니다.