KT, 침해사고 반복 훈련에도 실전 엉망…"엄중 제재 필요"

24시간 이내 신고 의무 위반…"신고 지연 반복, 핵심 판단 요소"

[프라임경제] 개인정보보호위원회(이하 개인정보위)가 29일 KT(030200) 개인정보 유출 사고에 대한 제재 수위를 심의하는 가운데 KT가 침해 정황이 확인되기 직전까지 침해사고 대응 및 보고 절차를 반복 훈련하고도 실제 상황에서는 두 차례 신고 기한을 넘긴 것으로 나타났다. 

KT 광화문 사옥 전경. ⓒ 연합뉴스

서버 폐기 시점을 사실과 다르게 제출하고 백업 로그도 뒤늦게 알린 만큼 반복적인 의무 위반과 조사 방해 정황을 제재 수위에 무겁게 반영해야 한다는 지적이 제기된다.

KT가 지난달 발간한 '2026 ESG 보고서'에 따르면 KT는 지난해 5월과 6월, 8월 웹쉘(해커가 웹 서버에 심어놓은 악성 스크립트 파일) 탐지와 악성파일 분석, 서버 악성코드 대응을 주제로 침해사고 대응훈련을 실시했다. 

훈련에서는 침해사고 대응 프로세스 준수 여부와 탐지·분석·대응·전파뿐 아니라 팀별 의사소통과 보고 절차까지 점검했다.

KT는 침해사고 대응훈련을 지난해 5·6·8월 실시했다. ⓒ KT 2026 ESG 보고서

그러나 한 달 뒤 침해 정황이 잇따라 확인된 실제 상황에서는 마련된 절차가 제대로 작동하지 않은 것으로 드러났다. 

KT는 지난해 9월5일 새벽 무단 소액결제와 관련한 이상 통신 패턴을 발견했지만 9월8일 저녁에야 당국에 신고했다. 

별도 보안점검을 통해 9월15일 내부 서버 침해 흔적을 확인한 뒤에도 9월18일 밤에 신고했다. 이에 정부는 두 건 모두 침해사고 인지 후 24시간 이내 신고 의무를 위반한 것으로 판단했다. 

조사 과정에서는 자료 제출 문제도 확인됐다. KT는 정부의 자료 요구에 관련 서버를 8월1일 모두 폐기했다고 답했지만, 실제 폐기는 8월1일과 6일, 13일에 나눠 이뤄졌다. 폐기 서버의 백업 로그가 있다는 사실도 9월18일까지 알리지 않았다. 

정부 조사단은 조사 방해의 고의성이 있다고 판단해 KT를 수사기관에 의뢰했다.

KT 불법 펨토셀로 인한 침해사고로 가입자 2만2227명의 가입자식별번호(IMSI), 단말기식별번호(IMEI) 및 전화번호 등이 유출됐다. 이 가운데 368명은 약 2억4300만원 규모의 무단 소액결제 피해를 본 것으로 확인됐다. 

아울러 KT 서버 94대에서는 BPF도어와 루트킷 등 악성코드 103종도 발견됐다.

일각에서는 정부가 개인정보 유출에 대해 엄정 대응하고 있는 만큼 KT 제재 수위가 낮지 않을 가능성이 거론된다. 

업계 관계자는 "KT가 침해사고 대응과 보고 절차까지 훈련하고도 서로 다른 침해 정황에서 신고 지연을 반복했다는 점은 이번 심의의 핵심 판단 요소가 될 전망"이라고 말했다.

이어 "사실과 다른 서버 폐기 자료 제출과 백업 로그 미고지까지 확인된 만큼, 단순한 신고 지연을 넘어 반복적인 법적 의무 위반과 조사 방해 정황을 반영한 엄중한 제재가 필요하다"고 덧붙였다.