'팸토셀 해킹' KT, 과징금 540억…"재발 방지 총력"

개인정보보호위원회는 지난 29일 오후 전체회의를 열고, KT의 펨토셀 해킹에 따른 개인정보 유출 사고와 관련해 과징금 539억7,900만원을 부과했다고 30일 밝혔다.

위원회 조사 결과에 따르면 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 자체 제작한 펨토셀에 이를 삽입해 KT 이동통신망에 접속했다.

해커는 이용자 단말이 불법 펨토셀을 경유하도록 유도해 단말과 내부망 사이의 송·수신 정보를 가로채고, 이름과 생년월일 등 개인정보를 확보했다.

이후 정보들을 결합해 휴대전화 소액결제를 요청하고, 결제 인증코드가 포함된 자동응답전화와 문자메시지를 탈취했다.

이 과정에서 알뜰폰 이용자를 포함한 KT 이용자 1만6,647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다.

이에 따른 무단 소액결제 피해자는 368명, 피해액은 약 2억4,000만원으로 조사됐다.

위원회는 과징금 부과와 함께 KT에 유사사고 재발 방지를 위한 펨토셀 등 무선통신망 장비에 대한 취약점 점검, 통신망 내 개인정보에 대한 불법적인 접근통제 등 안전조치를 강화하도록 명령했다.

또한 회사 전반의 개인정보 처리 업무에 대해 개인정보 보호책임자의 책임과 역할을 명확히 하는 등 거버넌스 체계를 정비할 것을 시정 명령했다.

아울러 일부 IT서비스를 대상으로 획득한 개인정보보호 관리체계(ISMS-P)의 인증범위를 이동통신 네트워크 시스템까지 확대해 개인정보 보호수준을 제고할 것을 개선 권고했다.

위원회는 KT가 2024년 3월 서버 악성코드 감염 사실을 정부에 신고하지 않고 일부 로그를 삭제한 데 대해서도 고발을 의결했다.

아울러 조사 착수 전 관련 서버의 운영체제를 재설치하거나 서버를 폐기한 LG유플러스에 대해서도 수사기관에 수사를 의뢰하기로 했다.

위원회는 유출사고가 발생하면 적기에 신고해 피해를 최소화할 수 있도록 '조사 착수 전' 은닉과 폐기 행위에 대한 형사처벌과 과징금, 이행강제금, 자료보전명령 등을 도입하는 개인정보 보호법 개정을 추진할 방침이다.

KT 측은 위원회의 이번 결정에 대해 "결과를 무겁게 받아들인다"며 "지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"고 입장을 밝혔다.

또한 "개인정보보호 보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 덧붙였다.