[더팩트ㅣ임영무 기자] 개인정보보호위원회(이하 개인정보위)가 개인정보 유출 사고 및 안전조치 의무 위반이 적발된 (주)KT에 500억 원이 넘는 과징금을 부과하고 조사 방해 행위에 대해서는 검찰에 고발하기로 의결했다. 조사 착수 전 서버를 폐기해 증거를 인멸한 엘지유플러스(LGU+)에는 수사를 의뢰했다.
양청삼 개인정보위 사무처장은 브리핑을 통해 지난 29일 개최된 제15회 전체회의에서 이 같은 내용을 담은 시정조치안을 최종 의결했다고 밝혔다.
개인정보위 조사 결과 해커는 유실된 KT 펨토셀(초소형 기지국)에서 인증서를 탈취한 뒤 자체 제작한 비인가 펨토셀에 이를 심어 KT 통신망에 무단 접속했다. 이후 인근 이용자 단말의 신호를 해커의 펨토셀로 유도해 네트워크 송·수신 정보를 가로채고 휴대폰 소액결제 인증코드까지 탈취해 무단 결제를 감행했다.
이 사고로 KT 이용자 1만 6647명의 개인정보가 유출됐고 이 중 368명이 총 2억 4000만 원 상당의 무단 소액결제 피해를 입은 것으로 확인됐다.
개인정보위는 이번 사고의 주원인으로 KT의 내부망 접근통제 관리 소홀을 지적했다. KT는 인가된 펨토셀인지 확인하는 '셀 ID'를 관리하지 않아 비인가 장비의 이상 접속을 탐지하지 못했으며 접속 IP 대역 제한 등 기본적인 안전조치조차 이행하지 않았다.
개인정보위는 유출된 정보가 실제 금전적 피해로 이어진 점을 엄중하게 판단해 539억 7900만 원의 과징금을 부과했다. 다만 유출 규모(1만 6000여 건)와 KT 측이 정보주체에게 피해보상을 실시한 점 등을 종합 참작했다고 설명했다.
이와함께 펨토셀 사건 조사 중 KT 서버 38대가 악성코드에 감염돼 임직원 및 협력사 직원의 개인정보가 유출된 정황을 정부에 신고하지 않고 2025년 4월 타사 유출 사고를 계기로 전수점검을 실시하는 과정에서 침해 발생 서버 일부의 로그를 삭제하는 등 사고를 은폐하려 한 것으로 드러났다.
개인정보위는 조사 과정에서 거짓 자료를 제출하고 진술을 번복하는 등 조사를 적극적으로 방해한 KT의 행위에 대해 고발 조치하기로 했다.
또한 조사 착수 전 관련 서버를 폐기하여 증거를 인멸한 혐의를 받는 엘지유플러스(LGU+)에 대해서는 수사기관에 수사를 의뢰하기로 결정했다.
darkroom@tf.co.kr
사진영상기획부 photo@tf.co.kr
- 발로 뛰는 <더팩트>는 24시간 여러분의 제보를 기다립니다.
- · 카카오톡: '더팩트제보' 검색
- · 이메일: jebo@tf.co.kr
- · 뉴스 홈페이지: https://talk.tf.co.kr/bbs/report/write
- · 네이버 메인 더팩트 구독하고 [특종보자→]
- · 그곳이 알고싶냐? [영상보기→]