KT, ‘펨토셀 해킹’ 과징금 540억…로그 삭제·거짓진술도 고발

▲29일 시민들이 서울시내 한 KT판매점 앞을 지나고 있다. 사진=연합뉴스

KT가 '펨토셀 해킹' 사고로 540억원 규모의 과징금을 부과받았다. 이용자 1만6천여명의 개인정보가 유출된 데 이어 조사 과정에서 로그 삭제와 거짓 진술까지 드러나면서 개인정보보호위원회는 KT를 고발하기로 했다.

개인정보보호위원회는 지난 29일 전체회의를 열고 개인정보 보호법 위반 혐의로 KT에 과징금 539억7900만원을 부과하고 시정명령과 공표명령, 개선권고를 의결했다고 30일 밝혔다.

조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 불법 펨토셀에 탑재해 KT 이동통신망에 접속한 뒤 이용자 단말과 내부망 사이의 통신 정보를 가로챘다. 이후 확보한 정보에 이름과 생년월일 등 개인정보를 결합해 소액결제를 시도하고, 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 결제를 진행한 것으로 조사됐다.

이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 368명은 총 2억4천만원 규모의 무단 소액결제 피해를 입었다. 개인정보위는 KT가 당초 신고한 2만2227명에서 법인과 다중회선 등을 제외한 실제 정보주체 수를 기준으로 유출 규모를 산정했다고 설명했다.

개인정보위는 KT가 펨토셀 인증서의 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않아 해외와 타사 인터넷망에서도 접속이 가능하도록 운영했다고 지적했다. 또 펨토셀 관리 서버를 우회할 수 있는 경로가 존재했고, 비인가 펨토셀이 이동통신 코어망에 접속하는 것을 탐지·차단하는 관리체계도 제대로 갖추지 못한 것으로 조사됐다.

해커는 2024년 10월부터 2025년 9월까지 약 11개월간 별도 인증 절차 없이 KT 내부망에 접속했지만, KT는 이용자들의 소액결제 피해 민원이 발생한 이후에야 비정상 접속 사실을 확인한 것으로 나타났다.

개인정보위는 KT가 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통해 서버 38대가 BPF도어(BPF Door) 등 악성코드에 감염된 사실을 인지하고도 관계기관에 신고하지 않은 채 자체 조치한 사실도 확인했다.

이 과정에서 해커가 SQL 삽입 공격을 통해 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보 등을 조회·유출한 정황도 파악됐다. 다만 당시 네트워크 로그가 남아 있지 않아 이용자 개인정보의 추가 유출 여부는 확인되지 않았다.

조사 과정에서의 증거 인멸 정황도 드러났다. KT는 지난해 4월 악성코드 감염 여부를 전수 점검하는 과정에서 침해 서버 10대의 로그를 삭제했다. 조사 초기에는 관련 자료가 없다고 진술했지만, 디지털 포렌식으로 로그 삭제 사실이 확인되자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출한 것으로 조사됐다.

개인정보위는 이를 조사 방해 행위로 판단해 KT를 고발하기로 했다.

아울러 KT에 무선통신망 장비 보안 강화와 개인정보 보호 관리체계 개선을 명령하고, 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크 시스템까지 확대하도록 권고했다.

개인정보위는 이번 사건을 계기로 조사 실효성을 높이기 위한 제도 개선도 추진한다. 조사 착수 전 증거를 은닉하거나 폐기한 사업자도 형사처벌하거나 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 하고, 조사 비협조 및 시정명령 미이행 사업자에는 이행강제금을 부과하는 내용의 개인정보보호법 개정을 추진할 계획이다.

KT는 개인정보위 처분 직후 입장문을 내고 공식 사과했다.

KT는 “개인정보보호위원회의 처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"고 밝혔다.

이어 “개인정보보호 체계 전반을 원점에서 재정비하고 보안 투자를 확대하는 한편, 전사적 개인정보보호 역량을 강화하는 등 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 말했다.

개인정보위 처분에 대한 법적 대응 여부와 관련해서는 “의결서를 수령하는 대로 내용을 면밀히 검토한 뒤 관련 입장을 정할 예정"이라고 밝혔다.

김나현 기자 knh@ekn.kr