[비즈한국] KT가 펨토셀(초소형 기지국) 해킹에 따른 개인정보 유출 사고로 539억 7900만 원의 과징금을 부과받았다. 지난해 유심 정보 유출 사고로 SK텔레콤에 내려진 과징금(1347억 9100만 원)의 40% 수준이다. 피해 이용자 1인당 과징금으로 환산하면 약 324만 원으로, SK텔레콤(약 5800원)의 550배를 웃돈다. 유출 규모만큼이나 통신망 운영 주체의 관리 책임과 실제 금전 피해 발생 여부가 무겁게 반영된 것으로 풀이된다.
“펨토셀 관리 주체는 KT”
30일 개인정보위는 개인정보보호법을 위반한 KT에 과징금 539억 7900만 원과 과태료 720만 원을 부과하고 시정명령과 개선권고, 공표명령을 의결했다. 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 혐의에 대해서는 KT를 고발하기로 했다. 조사 착수 전에 관련 서버를 폐기한 LG유플러스는 공무집행방해 혐의로 수사기관에 수사를 의뢰했다.
개인정보 유출 규모는 당초 민관합동조사단이 발표한 2만 2227건보다 적은 1만 6647명으로 확정됐다. 법인 회선과 동일인의 다중 회선 등을 제외해 실제 정보주체 기준으로 다시 산정한 결과다. 368명에게 약 2억 4000만 원의 실제 금전 피해도 발생했다.
이번 사고는 해커가 유실된 KT 펨토셀에서 인증서를 복사해 자체 제작한 불법 펨토셀을 만든 뒤 KT 이동통신망에 접속하면서 시작됐다. 펨토셀은 KT가 2016년부터 무선통신 음영지역 해소를 위해 도입한 소형기지국이다. 해커는 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 탈취했고, 여기에 별도로 확보한 개인정보를 결합해 소액결제를 요청한 뒤 ARS·SMS 인증까지 가로채 무단 결제를 진행했다.
총액만 보면 SK텔레콤보다 제재 수위가 낮다. 개인정보위는 KT를 SK텔레콤보다 한 단계 낮은 ‘중대한 위반’으로 분류하면서도 “국민 생활에 필수적인 이동통신 서비스를 제공하는 기간통신사업자로서 내부망 접근통제 관리에 소홀했고, 공격자의 불법적인 접근을 제한하지 못한 채 지속적인 이상 행위도 탐지하지 못해 실제 금전적 피해로 이어졌다”고 판단했다. 개인정보 침해 수준이 상당히 높다는 판단인데, 확인된 유출 규모가 상대적으로 적고 유출 정보도 휴대전화번호, IMSI, IMEI 등 3종에 그친 점 등을 종합적으로 고려해 최종 과징금이 산정됐다.
일각에서는 펨토셀이 일부 가입자에게만 설치되는 장비인 만큼 관련 매출만 반영할 수 있다는 관측도 있었지만 실제 과징금 산정 기준은 KT 이동통신서비스의 5G·LTE 통신 매출로 결정됐다. IPTV와 인터넷통신 등 관련 없는 독립적인 매출액은 제외됐다.
이번 심의의 핵심 쟁점은 펨토셀의 관리 책임을 누구에게 물을 것인가였다. KT는 심의 과정에서 “해커가 자체 제작한 펨토셀을 이용해 단말기 통신신호를 가로채는 전례 없는 신유형 공격으로, 예측과 대응이 불가능했다”고 주장했다.
개인정보위는 “펨토셀의 실질적인 운영 주체는 KT이며, 이동통신망 접속과 서비스 제공을 위한 이용자 인증 과정, 이 과정에서의 개인정보 전송에 대한 관리통제권도 KT에 속한다”고 판단했다. KT 설치기사가 직접 설치하고 이용자에게 판매되지 않는 회사 자산이라는 점도 근거로 제시했다.
관리 체계의 허점도 구체적으로 지적됐다. 장비 관리와 내부망 접근통제를 제대로 했다면 충분히 예방 가능했던 사고로 본 것이다. 사고 당시 KT의 펨토셀 관리체계는 전반적으로 부실해 인가받지 않은 펨토셀이 내부망에 쉽게 접속할 수 있는 상태였다. △펨토셀 인증서 유효기간을 10년으로 장기간 설정한 점 △내부망 접속 IP를 제한하지 않아 해외나 타사 IP에서도 접속이 가능하도록 운영된 점 △관리서버를 우회하는 경로 존재 △비인가 셀 ID를 탐지하거나 대응하는 체계도 마련되지 않았다는 점도 고려됐다.
이 때문에 해커가 약 11개월 동안 내부망에 접속해 개인정보를 유출했지만 KT는 이를 탐지하지 못했고, 소액결제 피해 민원이 접수된 이후에야 비정상 접속을 확인했다는 것이다.
통신 3사 잇단 사고에 리스크 관리 도마 위
SK텔레콤과 KT에 이어 LG유플러스까지 잇따라 대규모 개인정보 유출과 사고 은폐 의혹이 불거지면서 통신업계 전반의 보안 리스크 관리 체계 부실이 수면 위로 떠올랐다.
사고 이후 KT의 대응은 도마 위에 올랐다. KT는 2024년 3월 서버 악성코드 감염 사실을 최초로 인지하고도 정부에 침해 사실을 신고하지 않았고, 개인정보 유출 여부에 대한 상세 분석 없이 자체 조치했다. 이후 타사 유출 사고를 계기로 서버를 전수 점검하는 과정에서 침해 서버 일부 로그를 삭제하는 등 조직적 은폐 정황도 확인됐다.
조사 초기 보존 자료가 없다고 진술했다가 디지털포렌식으로 로그 삭제 사실이 드러나자 진술을 번복해 로그를 뒤늦게 제출한 점도 조사방해로 판단, 개인정보위는 KT를 고발하기로 했다.
이번 사건을 계기로 조사 착수 전 증거 은닉·폐기에 대한 형사처벌과 과징금 부과, 조사 비협조 시 이행강제금 부과, 자료보전명령 도입 등을 골자로 한 개인정보보호법 개정도 추진되면서 사고 발생 시 ‘일단 은폐하고 보자’는 식의 대응은 더 이상 통하지 않을 것으로 보인다. 일부 IT 서비스에 한정됐던 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크 시스템까지 확대하도록 개선권고가 내려지면서, 그동안 인증 사각지대에 있던 통신망 설비까지 정부의 상시 점검 대상에 들어가게 됐다는 평가다.
KT는 이번 과징금 부과 조치와 함께 무선통신망 장비에 대한 취약점 점검과 개인정보 접근통제 체계 강화 및 개인정보 보호책임자(CPO)의 책임과 역할 강화 등을 내용으로 하는 시정명령도 받게 됐다.
KT 관계자는 “개인정보보호위원회의 처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다”며 “개인정보보호 체계 전반을 원점에서 재정비하고 보안 투자를 확대하는 등 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 밝혔다.
개인정보위 의결 이후 기업은 의결서를 송달받아 처분 내용을 검토한 뒤 행정소송을 제기할 수 있다. 대형 과징금 처분을 둘러싸고 행정소송으로 이어지는 사례가 적지 않은 만큼 KT의 대응에도 관심이 쏠린다. KT 관계자는 “의결서를 수령하는 대로 내용을 면밀히 검토한 후 관련 입장을 정할 예정”이라고 전했다.