KT 개인정보 유출 제재안, 29일 개인정보위서 심의…과징금 최대 2000억원

KT의 대규모 개인정보 유출 및 무단 소액결제 사고에 대한 정부 제재 수위가 이달 말 결정된다. 개인정보보호위원회는 오는 29일 전체회의를 열고 KT의 개인정보보호법 위반에 따른 과징금과 시정명령 등을 심의·의결할 예정이다. 법정 최대 과징금은 위반 행위 관련 매출액의 3%로, KT의 최근 3년 무선 서비스 연평균 매출 약 6조6689억원을 기준으로 단순 계산하면 약 2000억원에 달한다.

지난해 9월 KT에서는 불법 초소형 기지국(펨토셀)을 이용한 개인정보 유출과 무단 소액결제 사고가 발생했다. 과학기술정보통신부 민관합동조사단은 불법 펨토셀 20개를 통해 2만2227개 회선의 전화번호, 국제이동가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출된 것으로 확인했다. 이 중 368명은 결제 인증 문자와 전화가 탈취돼 총 777건, 2억4319만원의 무단 소액결제 피해를 입었다. 개인정보위는 개인정보가 유출된 정보주체를 약 1만6000명으로 산정했다.

조사 결과 KT는 불법 펨토셀의 내부망 접속을 막지 못했고, 동일한 인증서 사용과 10년의 긴 유효 기간 설정으로 보안에 허점이 드러났다. 또한 과거 악성코드에 감염된 서버 43대를 발견하고도 당국에 신고하지 않았으며, 침해사고 신고가 지연된 사실도 확인됐다. 서버 폐기 시점을 사실과 다르게 보고하고 관련 백업 로그를 제출하지 않은 점 등 정부 조사를 방해한 정황이 있어 수사기관에 수사가 의뢰된 상태다.

실제 과징금은 위반 행위의 중대성, 피해 규모, 사후 조치 등을 종합해 결정된다. KT가 피해 고객의 무단 결제액을 보상하고 유심 무상 교체, 해지 위약금 면제 등 피해 구제 조치를 시행한 점과 불법 펨토셀 접속 차단, 정보보호 투자 확대, 보안 자문위원회 출범 등 재발 방지 대책은 감경 요소로 작용할 수 있다. 개인정보위는 앞서 SK텔레콤에 1348억원, 쿠팡에 6247억원의 과징금을 부과한 바 있다. 제재가 확정되더라도 KT가 행정심판이나 행정소송을 제기하면 법적 공방으로 이어질 가능성도 있다.