‘1만6000명 정보 유출’ KT 과징금 540억… 역대 4번째 규모

이용자 전화번호-식별번호 해킹돼 368명에 2억여원 소액결제 피해 개보위 “거짓 자료로 조사 방해 고발” 개인정보보호위원회(개인정보위)가 불법 펨토셀(소형 기지국)을 통한 개인정보 유출 사고와 관련해 KT에 과징금 539억7900만 원을 부과했다. 개인정보위는 거짓 자료 제출 등으로 조사를 방해한 KT를 개인정보보호법 위반 혐의로 고발하기로 했다. 개인정보위는 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 부과와 시정명령, 개선권고, 공표명령을 의결했다고 30일 밝혔다. 개인정보위가 한 기업에 부과한 과징금 가운데 쿠팡, SK텔레콤, 구글에 이어 역대 네 번째로 큰 규모다. 이번 처분은 지난해 9월 경기 광명시와 서울 금천구 등에서 KT 이용자들의 휴대전화로 자신도 모르는 소액결제가 이뤄져 큰 혼란을 빚은 사건에 대한 것이다. 당시 피해 규모가 계속 늘어나고 개인정보 유출 정황까지 드러나면서 가입자들의 불안이 확산됐다. 조사 결과 사고는 해커가 빼낸 KT의 펨토셀 인증서를 자체 제작한 펨토셀에 심어 KT 이동통신망에 접속하면서 발생했다. 해커는 이용자 단말기가 불법 펨토셀을 거치도록 유도해 내부망 송수신 정보를 가로챈 뒤 다른 개인정보와 결합해 휴대전화 소액결제를 시도했다. 이 과정에서 알뜰폰 가입자를 포함한 KT 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 이 가운데 368명이 약 2억4000만 원의 피해를 봤다. 개인정보위는 KT의 펨토셀 관리 체계가 부실했다고 판단했다. KT는 펨토셀 인증서 유효기간을 10년으로 길게 설정한 데다 접속 인터넷주소(IP주소)도 제한하지 않아 타사나 해외 IP주소를 통해서도 내부망에 접속할 수 있도록 운영했다. 해커는 2024년 10월부터 지난해 9월까지 약 11개월 동안 KT 내부망에 접속했지만, KT는 관련 민원이 잇따른 뒤에야 비정상 접속을 확인했다. 조사 과정에서는 KT의 별도 악성코드 감염 사고도 드러났다. 개인정보위는 2024년 3월 KT 서버 38대가 악성코드에 감염돼 임직원과 협력사 직원 일부의 개인정보가 유출된 정황을 확인했다. 송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”고 말했다. 한편 개인정보위는 별도의 개인정보 유출 의혹과 관련해 조사 착수 전 서버의 운영체제(OS)를 재설치하거나 서버...