11개월간 비인가 장비 접속 탐지 못해…368명 2억4000만원 피해
악성코드 감염 은폐·거짓 자료 제출 혐의로 고발 조치

▲ KT 광화문지사 [토요경제 DB]

KT가 불법 초소형 기지국을 통한 개인정보 유출 사고로 539억7900만원의 과징금을 부과받았다. 해커가 KT 내부망에 약 11개월간 접속하는 동안 이상 징후를 탐지하지 못했고, 유출 정보가 휴대전화 소액결제 피해로 이어진 것으로 조사됐다.

개인정보보호위원회는 개인정보 보호법상 안전조치 의무를 위반한 KT에 과징금과 시정명령, 개선권고를 의결했다고 30일 밝혔다. KT가 2024년 악성코드 감염 사실을 신고하지 않고 조사 과정에서 거짓 자료를 제출한 행위에 대해서는 고발하기로 했다.

조사 결과 해커는 유실된 KT 펨토셀의 인증서를 자체 제작한 장비에 심어 이동통신망에 접속했다. 이후 이용자 단말이 해당 장비를 거치도록 유도해 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 빼냈다. 알뜰폰 이용자를 포함해 1만6647명의 정보가 유출됐고, 368명에게 약 2억4000만원의 무단 소액결제 피해가 발생했다.

KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP를 제한하지 않았다. 관리서버를 우회하는 경로와 비인가 장비의 접속을 탐지하는 체계도 갖추지 않아 해커가 2024년 10월부터 지난해 9월까지 내부망에 접속했지만 이를 확인하지 못했다.

개인정보위는 KT에 통신설비 전반의 취약점을 점검하고 개인정보보호책임자의 역할을 강화하는 대책을 3개월 안에 마련하도록 명령했다. 이동통신 네트워크와 시스템까지 개인정보보호 관리체계 인증 범위를 확대하라고도 권고했다.

개인정보위는 이와 별도로 조사 착수 전 관련 서버를 재설치하거나 폐기한 LG유플러스에 대해서도 수사를 의뢰하기로 했다. 증거 은닉·폐기 행위에 대한 형사처벌과 과징금, 자료보전명령 도입을 포함한 법 개정도 추진한다.

 

토요경제 / 황세림 기자 hsr@sateconomy.co.kr 

[ⓒ 토요경제. 무단전재-재배포 금지]