'개인정보 유출' KT에 과징금 540억원…증거 인멸 고발

개인정보위, 과징금 부과 의결…2억4000만원 금전피해 발생

[프라임경제] 불법 소형기지국인 펨토셀을 통한 개인정보 유출 사고, 무단 소액결제 피해가 발생한 KT(030200)에 과징금 539억7900만원이 부과됐다. 개인정보보호위원회(이하 개인정보위)는 KT가 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해했다고 보고 고발도 의결했다.

송경희 개인정보보호위원회 위원장이 정부서울청사에서 개최된 제15회 전체회의에서 의사봉을 두드리고 있다. ⓒ 개인정보보호위원회

개인정보위는 지난 29일 제15회 전체회의를 열고 '개인정보 보호법'을 위반한 KT에 대해 과징금 539억7900만원을 부과하고, 시정명령과 개선권고, 공표명령 등을 의결했다고 30일 밝혔다.

아울러 로그 삭제와 거짓진술 등 조사 방해 행위에 대해서도 KT를 고발하기로 했다.

◆1만6000명 정보 유출·소액결제 피해

조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 자체 제작한 불법 펨토셀에 심어 KT 이동통신망에 접속한 뒤 이용자 단말과 내부망 사이를 오가는 정보를 가로챘다.

이를 이름, 생년월일 등 추가 확보한 개인정보와 결합해 소액결제를 시도하고 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 결제를 한 것으로 파악됐다.

KT 광화문 사옥 전경. ⓒ 연합뉴스

이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호·국제모바일가입자식별번호(IMSI)·단말기 식별번호(IMEI)가 유출됐다. 이 가운데 총 368명이 약 2억4000만원의 무단 소액결제 피해를 본 것으로 조사됐다.

유출 인원은 KT가 당초 신고한 2만2227명 가운데 법인과 다중회선 등 중복을 제외한 실제 정보주체 수를 산정한 결과다.

개인정보위는 이번 사건이 단순한 개인정보 유출에 그치지 않고, 펨토셀을 통해 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다고 봤다.

이번 사고는 KT가 초소형 기지국인 펨토셀을 관리·운영하면서 KT 내부망에 대한 기본적인 접근통제 관리를 소홀히 해 발생한 것으로 파악됐다. 

KT는 펨토셀 인증서의 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않아 타사나 해외 IP를 통한 접속도 가능하도록 운영했다.

펨토셀 관리서버를 우회하는 경로가 존재했고, 펨토셀이 코어망에 접속할 때 부여되는 식별자인 셀 아이디를 제대로 관리하지 않아 비인가 셀 아이디의 이상 접속을 탐지하거나 대응하는 체계도 갖추지 않았다.

이에 해커는 별도의 인증 절차 없이 2024년 10월8일부터 지난해 9월5일까지 약 11개월간 KT 내부망에 접속했지만, KT는 소액결제 피해 민원이 발생한 뒤에야 비정상 접속 사실을 파악했다.

이에 대해 개인정보위는 KT가 개인정보 보호법에서 부여하고 있는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위한 안전조치 의무를 위반한 것으로 판단했다.

개인정보위는 KT가 대규모 개인정보를 처리하는 이동통신사업자로서 안전조치의무를 소홀히 하여 개인정보가 유출된 행위에 대해 과징금 539억7900만원을 부과했다. 

아울러 KT가 운영 중인 홈페이지에 위와 같이 처분받은 사실을 공표하도록 명령했다. 무선통신망 장비의 보안 강화와 개인정보 보호 거버넌스 정비도 명령했다.

개인정보보호 관리체계 인증(ISMS-P) 범위를 이동통신 네트워크 시스템까지 확대하도록 개선 권고했다.

개인정보위는 KT의 별도 악성코드 감염 사고도 확인했다.

KT는 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통해 해커가 침투해 38대의 서버가 BPF도어(BPF Door) 등 다수의 악성코드에 감염된 사실을 인지하고도 정부에 신고하지 않은 채 자체 조치한 것으로 조사됐다.

확인 결과 해커가 로밍렌탈서비스 관리자 페이지에 SQL(구조적 질의 언어) 삽입 공격을 해 KT 임직원과 협력사 일부 직원의 이름, 전화번호, 계정 등을 조회·유출한 정황도 파악됐다.

다만 사고 당시 네트워크 로그가 남아 있지 않아 감염 서버에서 처리한 이용자 개인정보의 추가 유출 여부는 확인되지 않았다.

KT는 지난해 4월 악성코드 감염 여부를 전수 점검하는 과정에서 침해 서버 10대의 로그를 삭제하기도 했다.

개인정보위 조사 초기에는 보존 자료가 없다고 거짓 진술했다가 디지털 포렌식으로 로그 삭제 정황이 확인되자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출하기도 했다.

개인정보위는 KT의 이같은 행위를 조사 방해로 보고 고발을 결정했다.

이와 관련 KT는 "개인정보위의 처분 결과를 무겁게 받아들인다"며 "지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"고 말했다.

이어 "KT는 개인정보보호 보호 체계 전반을 원점에서 재정비하고 있다"며 "보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 덧붙였다.

개인정보위 결정에 불복해 법적 대응에 나설지에 대해서는 "의결서를 수령하는 대로 그 내용을 면밀히 검토한 후 관련 입장을 정할 예정"이라고 전했다.

◆LGU+ 증거폐기 수사의뢰

개인정보위는 조사 착수 전 서버를 폐기해 증거를 인멸한 LG유플러스(032640)는 수사기관에 수사의뢰하기로 결정했다. 

개인정보위는 지난해 8월 미국 보안 전문지 '프랙'을 통해 LG유플러스 개인정보 유출 사실을 인지하고 조사에 착수했다.

임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일의 유출 여부를 점검한 결과 해당 정보는 LG유플러스의 통합 비밀번호 관리시스템(APPM)에서 실제 보유·관리하던 정보로 확인됐다.

그러나 LG유플러스는 개인정보위 조사 착수 전 APPM 서버 등의 운영체제(OS)를 재설치하거나 서버를 폐기해 정확한 유출 경위와 추가 유출 여부를 확인하기 어렵게 한 것으로 드러났다.

개인정보위는 증거 은닉·폐기가 조사 착수 전에 이뤄져 개인정보보호법상 조사방해 규정을 적용할 수는 없지만, 공무집행방해에 해당한다고 판단해 수사를 의뢰했다.

LG유플러스 관계자는 "이미 동일한 사항에 대해서 경찰수사가 진행 중"이라며 "앞으로도 경찰 수사에 성실히 임하도록 하겠다"고 했다.