2025년 11월 4일 서울 종로구 KT 본사의 모습. (뉴시스)
개인정보위는 29일 제15회 전체회의를 열고, 지난해 펨토셀 해킹으로 개인정보 유출 사고가 발생한 KT에 539억 7900만 원을 부과하고, 시정명령 및 개선권고를 내렸다고 30일 밝혔다.
조사 결과, 펨토셀을 통한 이동통신 핵심 네트워크·시스템 접근통제 관리 소홀로 1만 6647명의 개인정보(휴대전화번호, IMSI, IMEI) 유출 및 이동통신망 문자·전화 탈취가 확인됐다. 당초 유출을 신고한 2만 2227명 중 법인 및 다중회선 등 중복을 제거한 실제 정보주체 규모를 산정한 수치이다.
총 368명 피해자에게 약 2억4000만원 상당의 무단 소액결제 피해도 발생했다.
개인정보위는 지난해 펨토셀 해킹을 통해 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다고 봤다.
또 KT가 개인정보 보호법에서 부여하고 있는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위한 안전조치 의무를 위반한 것으로 판단했다.
조사 결과, 해커는 유실된 KT 펨토셀에서 인증서를 빼내 이를 자체 제작한 펨토셀에 심은 뒤 이를 통해 KT 이동통신망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 단말과 내부망 간 송·수신 정보를 가로챘고, 이를 추가적으로 확보한 개인정보(이름, 성별, 생년월일)와 결합해 휴대폰 소액결제를 요청한 뒤 결제인증코드가 포함된 ARS·SMS를 탈취해 무단 소액결제에 성공했다.
개인정보위는 이번 사건이 단순한 개인정보 유출에 그치지 않고, 펨토셀을 통해 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다고 봤다.
◇개인정보위 “KT, 펨토셀 관리 통제 소홀…안전조치 의무 위반”
송경희 개인정보보호위원회 위원장이 29일 정부서울청사에서 개최된 제15회 전체회의에서 의사봉을 두드리고 있다. (사진=개인정보보호위원회)
펨토셀은 KT가 2016년 11월부터 무선통신 신호가 약한 음영지역 해소를 위해 도입·운영한 소형기지국이다. KT 인터넷을 사용하는 고객을 대상으로 KT 설치기사가 직접 설치해주며, 이용자에게 판매되지 않는다.
펨토셀이 KT 무선통신망에 접근하기 위한 망 접속 승인, 인증체계 관리, 내부망 접속 허용, 보안통제 및 운영은 KT가 수행한다.
개인정보위는 펨토셀의 실질적인 운영 주체는 KT이며, 펨토셀의 이동통신망 접속 및 서비스 제공을 위한 이용자 인증과정, 이 과정에서의 개인정보 전송에 대한 관리통제권은 KT에 속한다고 판단했다.
사고 당시 KT의 펨토셀 관리체계는 전반적으로 부실해 인가받지 않은 펨토셀이 KT 내부망에 쉽게 접속할 수 있는 상태였다. 개인정보위에 따르면, KT는 내부망 접속을 위해 부여하는 펨토셀 인증서의 유효기간을 10년으로 장기간 설정했으며, 내부망에 접속하는 펨토셀에 대해 접속 IP 제한을 하지 않아 타사 또는 해외 아이피(IP)에서도 접속 가능하도록 운영했다.
또한, 펨토셀 관리서버를 우회하는 경로가 존재했으며, 펨토셀이 코어망 접속시 부여되는 식별자인 셀 아이디(Cell ID)를 관리하지 않아 비인가 셀 아이디(Cell ID)의 이상접속 행위에 대한 탐지·대응체계가 부재한 상태로 운영됐다.
이로 인해 해커는 2024년 10월 8일부터 2025년 9월 5일 약 11개월간 KT내부망에 접속할 수 있었고, KT는 이러한 이상접속 행위를 탐지하지 못했다. 소액결제 등 2차 피해가 발생해 다수의 민원이 접수된 후에야 비정상 접속을 식별할 수 있었다.
◇악성코드 감염 미신고·로그 삭제…“조직적 은폐 정황”
KT는 2024년 3월 자사 서버의 악성코드 감염 사실을 최초로 인지하고도 정부에 침해사실을 신고하지 않았고, 개인정보 유출 여부에 대한 상세 분석을 진행하지 않은 채 자체 조치에 그쳤다. 당시 감염 서버 중에는 이용자 개인정보를 처리하는 시스템이 다수 포함돼 있었다.
또 KT는 SK텔레콤 사고 이후 정부 차원의 전수 조사 과정에서 침해 발생 서버 일부(10대)의 로그를 삭제하는 등 조직적으로 침해사실을 은폐한 정황이 발견됐다.
개인정보위는 또 KT가 조사 과정에서 초기에는 감염서버에 대한 보존 자료가 없다고 거짓 진술했으나, 위원회가 디지털포렌식을 통해 조사착수 전 관련 로그를 삭제한 정황을 적발해 내자, 진술을 번복하고 별도로 보관중인 로그를 뒤늦게 제출해 조사를 지연시켰다고 밝혔다.
개인정보위는 이러한 행위의 재발을 막기 위해 조사·제재 회피 목적으로 관련 증거를 은닉·폐기해 위원회 조사를 방해하는 행위에 엄정 대응하고 조사의 실효성을 강화하기 위한 제도개선을 추진할 예정이다.
송경희 개인정보위 위원장은 “사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해, 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다”라고 밝혔다.
KT 측은 “처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”면서 “개인정보보호 보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 밝혔다.
