KT, 개인정보 유출에 역대 네 번째 과징금 540억

개인정보보호위원회가 KT에 대해 539억7900만 원의 과징금을 부과했다. 이는 쿠팡, SK텔레콤, 구글에 이어 역대 네 번째로 큰 규모로, 불법 펨토셀을 이용한 개인정보 유출 사고에 대한 제재다. 개인정보위는 29일 전체회의에서 이 같은 처분을 의결하고 30일 공개했다.

사고는 해커가 KT의 펨토셀 인증서를 빼내 자체 제작한 불법 펨토셀에 심어 이동통신망에 접속하면서 발생했다. 해커는 이용자 단말기가 불법 펨토셀을 거치도록 유도해 내부망 정보를 가로챘으며, 이를 다른 개인정보와 결합해 소액결제를 시도했다. 이 과정에서 알뜰폰 가입자를 포함한 KT 이용자 1만6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐고, 이 중 368명이 약 2억4000만 원의 피해를 입었다.

개인정보위는 KT의 펨토셀 관리체계가 부실했다고 지적했다. KT는 펨토셀 인증서 유효기간을 10년으로 길게 설정하고 접속 IP를 제한하지 않아 타사나 해외 IP를 통해서도 내부망에 접속할 수 있도록 운영했다. 해커는 2024년 10월부터 지난해 9월까지 약 11개월 동안 KT 내부망에 접속했지만, KT는 관련 민원이 잇따른 뒤에야 비정상 접속을 확인했다. 조사 과정에서는 2024년 3월 KT 서버 38대가 악성코드에 감염돼 임직원과 협력사 직원 일부의 개인정보가 유출된 정황도 추가로 드러났다.

송경희 개인정보위 위원장은 이번 처분이 통신업계 전반의 보안 역량을 강화하는 계기가 돼야 한다고 강조했다. 한편 개인정보위는 별도의 개인정보 유출 의혹과 관련해 조사 착수 전 서버의 운영체제를 재설치하거나 서버를 폐기한 LG유플러스에 대해서는 수사를 의뢰하기로 했다. KT는 처분 결과를 무겁게 받아들이며 보안 투자 확대와 재발 방지에 힘쓰겠다고 밝혔고, LG유플러스는 이미 경찰 수사가 진행 중이라며 성실히 임하겠다고 전했다.