전담인력 317명에도 비인가 펨토셀 11개월 접속 못 잡아…과징금 539억에 조사방해 고발까지

▲ 박윤영 KT 대표이사(오른쪽)가 지난 3월31일 경기 과천 네트워크·보안관제센터에서 관계자에게 설명을 듣고 있다 [KT]

KT(대표이사 박윤영)가 ‘통신사 최대 규모’라고 내세운 정보보호 투자와 300명이 넘는 전담인력을 갖추고도, 정작 개인정보 유출 사고가 발생한 이동통신 핵심 네트워크를 개인정보보호 관리체계(ISMS-P) 인증범위에 포함하지 않았던 것으로 드러났다.

KT는 지난 7월8일 2025년 정보보호 부문에 1276억원을 투자했다고 발표했다. 4년 연속 연간 투자액 1000억원 이상을 유지했으며, 단일 기업 기준 국내 3위이자 통신사 가운데 최대 규모라는 설명이었다. 정보보호 전담인력은 317명으로, 이 가운데 내부 전문인력은 164명이었다. KT는 내부인력을 중심으로 보안전략 수립부터 핵심 시스템 보호와 사고 대응까지 수행하는 체계를 운영하고 있다고 강조했다.

그러나 투자 현황을 발표한 지 21일 만인 지난달 29일 개인정보보호위원회의 제재 처분에서 핵심 이동통신망의 접근통제 부실이 확인됐다. 개인정보위는 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 처분 사실 공표를 의결했다. 개인정보 유출 피해자는 알뜰폰 가입자를 포함해 1만6647명이며, 이 가운데 368명에게 약 2억4000만원의 무단 소액결제 피해가 발생했다.

사고는 KT의 펨토셀 관리 공백에서 시작됐다. 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 자체 제작한 펨토셀에 삽입해 KT 이동통신망에 접속했다. 비인가 장비는 2024년 10월8일부터 2025년 9월5일까지 약 11개월 동안 내부망에 접속했지만 KT는 이를 탐지하지 못했다. KT가 강조해 온 투자 규모와 실제 접근통제 수준 사이의 간극이 확인된 대목이다.

접근통제 장치는 여러 단계에서 작동하지 않았다. KT는 펨토셀 인증서의 유효기간을 10년으로 설정했고, 접속 인터넷주소(IP)를 제한하지 않아 타사나 해외 IP에서도 내부망 접속이 가능하도록 운영했다. 펨토셀 관리서버를 우회하는 경로도 존재했다. 코어망에 접속할 때 부여되는 장비 식별자인 셀 아이디(Cell ID)도 제대로 관리하지 않아 비인가 장비의 이상접속을 탐지·대응하는 체계가 부재했다는 것이 개인정보위의 판단이다.

ISMS-P 인증범위에도 공백이 있었다. KT가 취득한 ISMS-P 인증은 일부 정보기술(IT) 서비스에 한정돼 있었다. 개인정보위는 사고가 발생한 이동통신 네트워크와 관련 시스템까지 인증범위를 확대하라고 권고했다. 통신사 최대 규모의 정보보호 투자를 집행했다고 밝혔지만, 가입자와 기기를 인증하고 음성·문자 서비스를 연결하는 이동통신 네트워크는 ISMS-P 인증범위 밖에 남아 있었던 셈이다.

별도의 악성코드 침해사고에서는 내부통제 문제가 추가로 드러났다. 개인정보위는 KT가 2024년 3월 IT서비스 네트워크 내 서버 38대의 악성코드 감염 사실을 인지하고도 정부에 신고하지 않았다고 밝혔다. 이후 침해가 발생한 서버 가운데 10대의 로그를 삭제하고, 조사 과정에서 보존자료가 없다고 진술했다가 디지털포렌식으로 삭제 정황이 확인되자 자료를 뒤늦게 제출한 것으로 조사됐다. 개인정보위는 로그 삭제와 거짓 자료 제출 등 조사방해 행위에 대해 KT를 고발하기로 했다.

KT는 개인정보위의 처분 결과를 무겁게 받아들인다며 개인정보보호 체계를 원점에서 재정비하고 보안투자와 전사적 대응 역량을 강화하겠다고 밝혔다. 과징금 처분에 대한 법적 대응 여부는 의결서를 받은 뒤 결정한다는 입장이다.

과징금 부과액이 의결되면서 재무제표 반영 여부도 쟁점으로 떠올랐다. KT는 2025년 재무제표 주석에서 무단 소액결제와 침해사고 피해를 인지하고 개인정보위 조사를 받고 있다면서도, 조사 결과와 관련 의무를 합리적으로 추정할 수 없다고 공시했다. 해당 주석에는 과징금 관련 충당부채가 별도로 제시되지 않았다.

개인정보위가 과징금 539억7900만원을 의결하면서 KT의 회계적 판단 근거도 달라졌다. KT가 2026년 반기 재무제표에서 과징금을 충당부채나 비용으로 인식할지, 불복 절차 등을 고려해 우발부채로 공시할지가 다음 관전 포인트다. 고객 보상과 통신설비 취약점 점검, 이동통신망 ISMS-P 인증 확대에 들어갈 비용까지 더해지면 이번 사고의 재무 부담은 과징금에 그치지 않을 수 있다.

남은 확인 과제는 1276억원 가운데 이동통신 코어망과 펨토셀 인증·관제에 실제로 얼마가 배정됐는지, 전담인력 317명과 최고정보보호책임자(CISO)·개인정보보호책임자(CPO) 체계가 11개월간 이어진 비인가 접속을 왜 걸러내지 못했는지다. 정보보호 투자 규모가 실제 통제로 이어졌는지는 2분기 실적과 별개로 KT 경영진의 보안 책임을 가를 핵심 기준이 될 전망이다.

 

토요경제 / 황세림 기자 hsr@sateconomy.co.kr 

[ⓒ 토요경제. 무단전재-재배포 금지]