양청삼 개인정보보호위원회 사무처장이 30일 오전 서울 종로구 정부서울청사에서 개인정보보호법규 위반 사업자 시정조치에 관한 건(KT 과징금) 등 전체회의 결과를 발표하고 있다. /사진=뉴시스

개인정보보호위원회가 지난해 개인정보 유출과 무단 소액결제 피해 사고가 발생한 KT에게 540억원의 과징금을 부과했다. 조사 과정에서 드러난 사실 은폐한 정황은 수사기관에 고발할 예정이다.

개인정보보호위원회는 29일 오후 정부서울청사에서 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원과 시정명령, 개선권고, 공표·공표명령을 의결했다고 30일 밝혔다. 거짓 자료를 제출하고 자료를 뒤늦게 제출하는 등 위원회 조사를 실질적으로 방해한 행위는 고발하기로 했다.


지난해 8월 해커가 제작한 불법 초소형 기지국(펨토셀)이 KT 이동통신망에 무단 접속해 KT 이용자와 알뜰폰 가입자를 포함한 1만6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출됐다.

조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 펨토셀에 이를 삽입해 KT 이동통신망에 접속했다. 이후 이용자의 스마트폰이 해커가 만든 펨토셀을 경유하도록 유도하고 단말과 KT 내부망 간 송수신 정보를 가로챘다.

해커는 이를 통해 확보한 개인정보와 추가 정보를 결합해 휴대전화 소액결제를 시도했고 결제 인증번호가 포함된 문자메시지와 자동응답시스템 인증을 탈취하는 방식으로 부정 결제를 진행했다. 368명이 약 2억4000만원 규모의 피해를 입었다.


개인정보위는 KT의 부실한 펨토셀 관리 체계를 지적했다. 펨토셀은 이동통신 음영지역의 통화 품질을 개선하기 위해 설치하는 소형 기지국으로 KT 설치기사가 직접 설치하는 KT 자산이다. 망 접속 승인과 인증, 내부망 접속 허용, 보안 통제 등은 모두 KT 관할이다.

KT는 펨토셀 인증서 유효기간을 10년으로 장기간 설정했고 내부망에 접속하는 펨토셀의 접속 IP를 제한하지 않아 해외나 타사 인터넷망에서도 접속이 가능하도록 운영했다. 펨토셀 관리 서버를 우회할 수 있는 경로가 있었고 코어망 접속 시 부여되는 셀 아이디에 대한 관리와 이상 접속 탐지 체계도 부재했다.

이번 과징금은 사고가 발생한 5G·LTE 이동통신(무선) 매출을 기준으로 산정됐다. 사고와 관련 없는 인터넷TV(IPTV) 등 유선 매출은 제외됐다.

개인정보위는 KT에 통신설비 전반의 보안 구멍을 점검하고 내부망 접근 통제를 강화하라고 시정명령을 내렸다. 개인정보 보호책임자(CPO)의 권한과 책임을 명확히 하는 재발 방지책도 3개월 안에 보고하도록 했다. 여기에 일부 IT 서비스에만 적용된 '개인정보보호 관리체계(ISMS-P)' 인증 범위를 사고가 발생한 이동통신 네트워크·시스템까지 확대하도록 개선을 권고했다.