65.13
6.79
 |
KT 개인정보 유출 사고에 대한 정부 제재가 임박한 가운데 엄중한 책임을 물어야 한다는 목소리가 커지고 있다. 단순한 보안 관리 실패를 넘어 침해 사실을 신고하지 않고 정부 조사를 방해한 정황까지 드러났기 때문이다.
개인정보보호위원회는 오는 29일 전체회의를 열고 KT의 개인정보보호법 위반에 따른 과징금 부과와 시정명령 등 제재안을 심의·의결할 전망이다. 개인정보위는 지난 5월 조사를 마무리하고 KT에 처분 사전통지서를 발송했다. 현행 개인정보보호법은 전체 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정하고 있다.
위반행위와 관련이 없다고 인정되는 매출은 산정 대상에서 제외한다. KT의 최근 3년간 무선서비스 연평균 매출액 약 6조6689억원을 기준으로 단순 계산하면 법정 상한은 약 2000억원이다. 실제 과징금은 관련 매출의 범위와 위반행위의 중대성, 피해 규모, 조사 협조 여부 등에 따라 결정된다. 매출액의 최대 10%를 부과하는 개정 개인정보보호법의 징벌적 과징금은 오는 9월 시행 예정이어서 이번 사안에는 적용되지 않는다.
사건의 발단은 지난해 9월 불거진 불법 초소형 기지국 '펨토셀'을 이용한 침해 사고다. KT 가입자 2만2227명의 가입자식별번호(IMSI)와 단말기식별번호(IMEI), 전화번호 등이 유출됐다. 이 가운데 368명은 777건에 걸쳐 약 2억4319만원의 무단 소액결제 피해를 봤다.
부실한 보안 관리도 제재 수위를 높일 요인으로 꼽힌다. KT는 2024년 3월부터 7월 사이 BPF도어·웹셸 등 악성코드에 감염된 서버 43대를 발견하고도 당국에 신고하지 않은 채 자체 처리했다. 일부 감염 서버에는 성명과 전화번호, 이메일 주소, IMEI 등이 저장돼 있었다. 지난해 12월 발표된 민관합동조사단 최종 조사 결과에서는 감염 서버가 94대, 악성코드가 103종으로 늘었다.
조사 방해 정황도 확인됐다. KT는 해킹 의혹이 제기된 서버를 지난해 8월1일 폐기했다고 한국인터넷진흥원(KISA)에 보고했으나 실제 폐기는 8월1일과 6일, 13일에 나눠 이뤄졌다. 일부 서버는 보관 중이면서도 폐기했다고 알렸다. 과학기술정보통신부는 이를 위계에 의한 공무집행방해 소지가 있다고 보고 지난해 10월 경찰에 수사를 의뢰했다.
자사의 침해 정황을 외부에 알리지 않은 채 경쟁사의 사고를 가입자 유치에 활용했다는 비판도 거세다. KT는 지난해 4월 SK텔레콤의 유심 정보 유출 사고가 발생하자 보안 경쟁력을 강조하며 번호이동과 신규 가입자 유치에 나섰다. 당시 KT는 이미 감염 서버 43대를 발견하고도 당국에 신고하지 않은 상태였다.
방송미디어통신위원회는 KT가 자사의 보안 수준을 과장해 고객을 모집한 행위가 전기통신사업법상 금지행위에 해당하는지 조사하고 있다. 자사의 침해 정황은 숨긴 채 경쟁사의 사고를 부각했다면 소비자의 합리적인 선택을 방해한 기만행위가 될 수 있다는 것이다. 서울YMCA 시민중계실은 지난 1월 KT가 보안 수준을 거짓으로 고지해 신규 고객을 모집했다며 방미통위에 조사를 요구했다.
해킹 사실이 공개된 뒤에는 KT망을 사용하는 알뜰폰(MVNO) 자회사를 통해 가입자 이탈을 줄였다는 지적도 나온다. KT가 위약금을 면제한 지난해 12월 31일부터 올해 1월 13일까지 KT를 떠난 가입자는 31만2902명이다. 이 가운데 4만1210명(13.17%)이 알뜰폰으로 이동했으며 약 43%인 1만7700여명은 KT망을 이용하는 업체를 선택했다.
KT의 알뜰폰 자회사 KT엠모바일은 최대 26만원 상당의 혜택을 내걸어 약 1만명의 KT 해지 고객을 유치했다. 해킹을 피해 이탈하려던 고객 상당수를 자회사의 대규모 프로모션을 통해 다시 KT망 안에 붙잡아뒀다는 비판이다.
앞서 해킹 사태를 겪은 SK텔레콤은 위약금을 면제하고 향후 5년간 7000억원을 투자하는 정보보호 혁신안을 발표하는 등 사태 수습책을 내놨다. 신규 가입자 모집도 한동안 중단했고 개인정보위로부터 1347억9100만원의 과징금 처분을 받았다. 이 과정에서 가입자는 2310만4423명에서 2251만4992명으로 약 60만명 감소했다.
통신업계에서는 이 같은 사례가 '침해 사고는 신속하게 공개하는 것보다 일단 감추는 편이 유리하다'는 잘못된 학습효과를 낳을 수 있다고 우려한다.
통신업계 관계자는 "사태를 공개하고 보상에 나선 기업은 수십만명의 고객을 잃은 반면 사고를 감춘 기업은 알뜰폰을 통해 이탈을 줄이는 역설이 벌어졌다"며 "이번 제재가 통신업계에 해킹 사고를 숨기는 것이 유리하다는 잘못된 인식을 깨는 선례가 돼야 한다"고 말했다.
KT 관계자는 "개보위 발표 내용을 확인한 이후 입장을 밝힐 것"이라며 "현재로선 별도 입장을 전하기 어려운 상황"이라고 했다.
