[KJtimes=김은경 기자] 국내 이동통신사의 보안 관리 부실이 대규모 개인정보 유출을 넘어 실제 금전 피해로 이어진 사실이 확인되면서 정부가 역대급 제재에 나섰다.

개인정보 유출뿐 아니라 소액결제 인증에 사용되는 문자(SMS)와 자동응답시스템(ARS)까지 탈취돼 이용자 피해가 발생한 데다, 사고 이후 일부 자료 삭제와 조사 방해 정황까지 드러나면서 통신업계 전반의 보안 관리 체계가 도마 위에 올랐다.

개인정보보호위원회는 7월 29일 제15회 전체회의를 열고 ㈜KT에 대해 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령을 의결했다고 밝혔다. 아울러 조사 과정에서 거짓 자료 제출과 로그 삭제 등 조사 방해 행위가 확인된 KT는 고발하기로 했으며, 조사 착수 전 관련 서버를 폐기한 ㈜LG유플러스(LGU+)는 수사기관에 수사 의뢰하기로 결정했다.

이번 제재는 단순한 개인정보 유출 사건을 넘어 해킹으로 탈취된 정보가 실제 금융 피해로 연결된 사례라는 점에서 의미가 크다. 개인정보위는 이를 계기로 사고 은폐와 조사 방해에 대한 처벌 규정도 대폭 강화하겠다는 방침이다.

◆11개월 잠복한 해커…'소형 기지국'이 뚫리자 개인정보와 인증문자까지 탈취

조사 결과 해커는 KT의 펨토셀(Femtocell) 인증서를 복제한 뒤 자체 제작한 불법 펨토셀을 이용해 이동통신 핵심망에 침투했다. 펨토셀은 무선통신 음영지역 해소를 위해 KT가 2016년 11월부터 운영한 소형 기지국으로, 이용자에게 판매되는 장비가 아니라 KT가 설치·관리하는 통신설비다.

해커는 유실된 펨토셀에서 인증서를 빼낸 뒤 이를 불법 장비에 심어 KT 내부망에 약 11개월간(2024년 10월 8일~2025년 9월 5일) 접속했다. 이후 이용자의 휴대전화가 불법 펨토셀을 경유하도록 유도해 단말과 내부망 간 통신을 가로챘고, 확보한 개인정보를 이용해 휴대전화 소액결제를 시도한 뒤 인증용 SMS와 ARS까지 탈취한 것으로 조사됐다.

이 과정에서 KT 이용자 1만6647명(알뜰폰 포함)의 휴대전화번호, IMSI(가입자식별번호), IMEI(단말기식별번호)가 유출됐고, 368명은 총 약 2억4000만원 규모의 무단 소액결제 피해를 입었다.

개인정보위는 "그동안 개인정보 유출 사고는 실제 피해가 명확히 확인되지 않는 경우가 많았지만, 이번 사건은 개인정보 유출이 곧바로 금전 피해로 이어졌다는 점에서 심각성이 매우 크다"고 평가했다.

문제는 KT의 관리 체계였다. 조사 결과 KT는 펨토셀 인증서 유효기간을 10년으로 설정했고, 접속 가능한 IP 제한도 두지 않아 해외나 타사 IP에서도 내부망 접속이 가능하도록 운영했다. 또 펨토셀 관리 서버를 우회할 수 있는 경로가 존재했고, 비인가 장비를 식별할 수 있는 셀 ID(Cell ID) 관리도 제대로 이뤄지지 않았다.

결국 해커는 별도 인증 없이 장기간 내부망을 이용했지만 KT는 이상 징후를 탐지하지 못했고, 이용자 피해가 발생한 뒤에야 비정상 접속을 확인한 것으로 드러났다.

개인정보위는 이를 개인정보보호법상 안전조치 의무 위반으로 판단해 과징금을 부과했다.

이번 처분에는 재발 방지를 위한 조치도 포함됐다. 개인정보위는 KT에 3개월 이내 펨토셀 등 통신설비 전반의 취약점을 점검하고, 개인정보 보호책임자(CPO)의 실질적인 역할을 강화하는 개선 대책을 마련해 보고하도록 시정명령을 내렸다. 또 이동통신 네트워크와 시스템에 대해 개인정보보호 관리체계(ISMS-P) 인증을 받도록 개선을 권고했다.

한편 개인정보위는 이번 조사 과정에서 KT가 2024년 3월 BPFDoor 악성코드 감염 사실을 정부에 신고하지 않았고, 일부 서버 로그를 삭제하거나 거짓 자료를 제출해 조사를 방해한 정황도 확인했다고 밝혔다.

또 LGU+는 개인정보 유출 조사 착수 전에 관련 서버 운영체제를 재설치하거나 서버를 폐기해 정확한 사실관계 확인을 어렵게 한 것으로 판단돼 수사기관에 수사 의뢰됐다.

개인정보위는 이 같은 사례를 계기로 개인정보보호법 개정을 추진해 조사 착수 전 증거 은닉·폐기 행위도 형사처벌 대상에 포함하고, 전체 매출액의 3%까지 과징금을 부과할 수 있도록 하는 방안을 연내 마련할 계획이다. 조사 비협조나 시정명령 불이행 시에는 일 매출액의 0.3% 수준 이행강제금을 부과하는 제도도 추진한다.

정보보호 업계에서는 이번 조치가 통신사뿐 아니라 대규모 개인정보를 처리하는 모든 기업에 경고가 될 것으로 보고 있다. 특히 최근 생성형 AI 확산과 공급망 공격 증가로 기업 내부망 보안 중요성이 커지는 상황에서, 네트워크 접근통제와 인증서 관리, 이상 징후 탐지 체계 강화가 핵심 과제로 떠오르고 있다는 분석이 나온다.

송경희 개인정보보호위원장은 "이번 처분이 통신업계 전반의 보안 역량을 높이는 계기가 돼야 한다"며 "앞으로는 사고를 은폐하거나 축소하는 것이 아니라 신속하고 투명하게 공개하는 것이 기업에 가장 합리적인 선택이 되도록 제도를 개선하겠다"고 밝혔다.