[속보] '소액결제 해킹' KT, 과징금 539억에 고발까지 당한다

KT 이용자 1만6647명 정보 유출, 368명 소액결제 해킹 피해까지

개인정보위에 허위 자료 제출까지… “예방 가능한 사고, 조사도 방해”

조사 전 서버 운영체제 폐기한 LG유플러스… “업무방해 혐의, 수사의뢰”

▲ 서울 광화문 KT 본사. ⓒ 연합뉴스

지난해 '소액결제 해킹' 사태로 물의를 빚은 KT가 539억7900만 원의 과징금 처분을 받게 됐다. 개인정보보호위원회(이하 개인정보위)는 KT가 소형기지국 보안관리를 철저히 하지 않아 개인정보 유출뿐 아니라 이용자 금전피해까지 발생했다고 지적했다. 또 KT는 조사 과정에서 허위 자료를 제출했다며 고발조치했다. LG유플러스 역시 개인정보위가 조사에 착수하기 전 서버를 폐기하는 등 증거를 인멸했다며 공무집행방해 혐의로 수사를 의뢰하기로 했다.

개인정보위는 지난 29일 전체회의를 열고 KT에 과징금 539억7900만 원을 부과하고, 조사를 방해한 행위에 대해 고발하기로 했다. 송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 되어야 한다"고 했다. 지난해 8월 KT 소형기지국(펨토셀)이 해킹돼 이용자 개인정보가 유출되고 소액결제가 이뤄지는 해킹 사고가 발생했다.

개인정보위에 따르면 해커는 유실된 KT 소형기지국에서 인증서를 빼낸 뒤 자체 제작한 기지국에 이를 심고, KT 통신망에 접속했다. 이후 이용자 스마트폰이 해킹된 소형기지국을 통하도록 유도한 뒤 정보를 가로챘고, 이 정보를 통해 무단 소액결제에 성공했다. 결국 KT 이용자 1만6647명의 전화번호·가입자식별번호·단말기식별번호가 유출됐으며, 이 중 368명이 무단 소액결제 피해를 입었다. 피해액은 2억4000만 원에 달한다. 개인정보위는 이번 사태가 단순히 개인정보 유출에 그치지 않고 금전 피해까지 발생했다는 점에서 심각성이 크다고 지적했다.

특히 개인정보위에 따르면 KT는 소형기지국을 엄격히 관리하지 않는 등 보안 관리를 철저히 하지 않았다. KT는 허가받은 소형기지국만 내부망에 연결되도록 통제해야 했지만 관리체계가 부실해 인가받지 않은 소형기지국도 내부망에 손쉽게 접속할 수 있었다. 소형기지국 인증서 유효기간을 장기간(10년)으로 설정했고, IP 제한을 하지 않아 해외 IP를 통해서도 내부망에 접근할 수 있도록 한 것이다. 해커는 2024년 10월부터 지난해 9월까지 11개월 동안 내부망에 접속해 이용자 개인정보를 유출했지만 KT는 이를 탐지하지 못했다.

KT는 심의 과정에서 "전례 없는 신유형의 사고로 예측이 불가능했다"고 밝혔지만, 이에 대해 개인정보위는 "소형기지국 관리가 부실했고 내부망 접근 통제 미흡으로 발생한 사고라 충분히 예방이 가능했다. 특히 소형기지국을 통한 해킹은 해외 사례나 학계에서도 지적이 지속적으로 제기됐다"고 설명했다.

또 개인정보위 조사 과정에서 2024년 3월 KT IT서비스 네트워크 내 서버 38대가 다수 악성코드에 감염된 것으로 확인됐다. 감염 서버 중에는 이용자 개인정보를 처리하는 시스템이 다수 있었다. 해커가 서버 해킹을 통해 KT 임직원과 협력사 일부 직원의 개인정보를 조회·유출한 정황이 확인된 것이다. KT는 당시 악성코드 감염 사실을 인지했음에도 정부에 이를 신고하지 않았으며, 개인정보 유출 여부에 대한 상세한 분석을 하지 않고 자체적으로 사건을 처리했다.

지난해 4월 SK텔레콤 개인정보 유출 사고가 불거지자 KT가 악성코드에 감염된 서버 일부 로그를 삭제해 해킹 사실을 은폐한 정황도 발견됐다. 개인정보위는 "KT는 조사 초기 악성코드 감염 서버에 대한 보존 자료가 없다고 거짓 진술했다"며 "디지털포렌식을 통해 로그 삭제 정황을 적발해내자 진술을 번복하고 별도로 보관중인 로그를 뒤늦게 제출해 조사를 지연시키는 등 사고조사를 실질적으로 방해한 사실도 있다"고 지적했다. 이어 개인정보위는 "조사를 방해한 행위에 대해 고발하기로 결정했다"고 밝혔다.

개인정보위는 "무단 소액결제 사고가 발생한 KT 5G·LTE 통신 매출을 기준으로 과징금을 산정했다"며 "IPTV·인터넷통신 등 관련 없는 독립적인 매출액은 관련 매출액에서 제외했다"고 밝혔다. 개인정보보호법에 따르면 과징금은 매출액 3% 내에서 정해진다. KT의 최근 3년 평균 무선사업 매출은 약 6조5000억 원으로, 이번 과징금은 0.82% 수준이다.

이 밖에 개인정보위는 LG유플러스가 개인정보위 조사 착수 전 통합 비밀번호 관리 시스템 서버 운영체제를 재설치하거나 폐기해 조사가 불가능하도록 했다며 수사를 의뢰했다. 지난해 8월 미국 보안 전문지 프랙은 LG유플러스 개인정보 유출 정황이 있다고 보도한 바 있다. 개인정보위는 "LG유플러스는 서버 운영체제 재설치와 폐기로 사실관계 확인을 어렵게 했다. 이는 공무집행 방해 행위"라며 "조사 중 은닉 등 행위에 대해서는 형사처벌·과태료 부과가 가능하나, 조사 착수 전 행위에 대해서는 제재 규정이 미비해 사업자가 사고 발생 시 증거를 미리 은닉·폐기하는 것이 오히려 유리할 수 있는 규제 사각지대가 있다"고 밝혔다.

개인정보위는 기업이 조사 착수 전 관련 자료를 은닉·폐기하는 행위를 형사 처벌 대상에 포함하는 제도 개선안을 추진하겠다고 밝혔다. 개인정보위는 "사고를 은폐하더라도 끝까지 법적 책임을 묻는다는 원칙을 확인해 '사고 은폐와 조사 방해'라는 일부 기업의 고질적인 관행에 대해 경종을 울리고, 제도 개선을 통해 이런 행위가 더 이상 기업에 유리한 선택이 아니라는 인식을 정착시켜 나갈 계획"이라고 했다. 송 위원장은 "사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 밝혔다.