"전화번호 유출 넘어 돈까지 빠졌다"…KT 개인정보 유출에 과징금 540억

개인정보위, KT에 과징금 539억7900만원 부과

불법 초소형 기지국에 망 뚫려 1만6000명 개인정보 유출·소액결제 피해

인증서·접속 IP 관리 부실 판단…악성코드 감염 은폐·조사 방해 고발

[서울=뉴시스] 이영환 기자 = 29일 서울 종로구 KT 광화문 사옥이 보이고 있다.

개인정보보호위원회는 이날 전체회의를 열고 KT의 개인정보 보호법 위반 여부, 과징금·시정명령 등 제재 안건을 심의할 예정이다.  2026.07.29. [email protected]

[서울=뉴시스]윤정민 기자 = 정부가 지난해 1만6000여명의 개인정보가 유출되고 2억4000만 원 상당의 무단 소액결제 피해 사고를 낸 KT에 540억원대 과징금을 부과했다. 또 조사 과정에서 과거 악성코드 감염 사실을 숨기고 관련 기록(로그)을 지우거나 거짓 자료를 낸 사실이 드러나 KT를 수사기관에 고발하기로 했다.

개인정보보호위원회는 29일 오후 정부서울청사에서 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원과 시정명령, 개선권고, 공표·공표명령을 의결했다고 30일 밝혔다.

[서울=뉴시스]

KT는 지난해 8월 해커가 자체 제작한 불법 초소형 기지국(펨토셀)을 KT 이동통신망에 무단 접속시켜 벌인 소액결제 사고를 겪었다. 해커는 분실된 KT의 정상 초소형 기지국에서 인증서를 빼낸 뒤 직접 만든 장비에 식립해 KT 망에 들어왔다.

이어 이용자 휴대전화가 이 가짜 기지국을 거치도록 유도해 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 몰래 빼돌렸다. 해커는 이 정보와 미리 확보한 개인정보를 결합해 소액결제를 신청하고, 결제 인증문자와 자동응답전화(ARS)까지 중간에서 훔쳐 간 것으로 조사됐다.

개인정보위가 산정한 실제 피해 고객은 1만6647명이다. 무단 소액결제 피해자는 368명, 피해 금액은 약 2억4000만원으로 집계됐다.

인증서 유효기간만 10년…해커, KT망 11개월 드나들어

[서울=뉴시스] 펨토셀 구성도. (사진=KISTI 보고서) *재판매 및 DB 금지

이번 사고의 원인은 KT의 허술한 기지국 관리와 내부망 보안 부실이었다.

KT는 초소형 기지국이 내부망에 접속할 때 쓰는 인증서 유효기간을 10년으로 길게 잡았다. 해커가 다른 통신사나 해외 인터넷주소(IP)로 접근해도 막지 못했다. 기지국 관리 서버를 우회하는 구멍도 뚫려 있었다.

이 때문에 해커는 2024년 10월부터 지난해 9월까지 약 11개월 동안 KT 내부망을 자유롭게 드나들었다. KT는 소액결제 피해가 발생해 피해 고객 민원이 들어온 후에야 이상 접속을 알아챘다.

이번 과징금은 사고가 발생한 5G·LTE 이동통신(무선) 매출을 기준으로 매겼다. 사고와 관련 없는 인터넷TV(IPTV) 등 유선 매출은 뺐다.

개인정보위는 KT에 통신설비 전반의 보안 구멍을 점검하고 내부망 접근 통제를 강화하라고 시정명령을 내렸다. 개인정보 보호책임자(CPO)의 권한과 책임을 명확히 하는 재발 방지책도 3개월 안에 보고하도록 했다. 또 일부 IT 서비스에만 적용된 '개인정보보호 관리체계(ISMS-P)' 인증 범위를 사고가 발생한 이동통신 네트워크·시스템까지 확대하도록 개선을 권고했다.

[서울=뉴시스]

KT 측은 "개인정보위 처분 결과를 무겁게 받아들이며 지난 사고로 고객과 국민께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 깊이 사과드린다"고 밝혔다.

이어 "개인정보 보호 체계 전반을 원점에서 재정비하고 보안 투자를 확대하는 등 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 전했다.

악성코드 감염 숨기고 로그 삭제…KT 고발

개인정보위는 이번 사건을 조사하다 2024년 3월 KT 내부 서버가 악성코드에 감염됐던 사실도 추가로 밝혀냈다.

개인정보위에 따르면 당시 해커는 KT 로밍 서비스 웹사이트의 허점을 타고 들어가 서버 38대를 악성코드에 감염시켰다. 관리자 페이지를 공격해 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보도 유출했다. 다만 당시의 접속 기록이 남아 있지 않아 이용자 개인정보가 얼마나 더 빠져나갔는지는 확인하지 못했다.

KT는 2024년 3월 악성코드 감염 사실을 알고도 정부에 침해사고를 신고하지 않고 자체 조치했다. 지난해 4월 SK텔레콤 개인정보 유출 사고를 계기로 서버를 전수 점검하는 과정에서는 침해 서버 10대의 로그를 삭제한 정황도 드러났다.

개인정보위에 따르면 KT는 조사 초기에 보존 자료가 없다고 진술했다. 하지만 디지털 포렌식을 통해 로그 삭제 정황이 확인되자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출했다.

개인정보위는 이러한 행위가 조사 과정에서의 거짓 자료 제출과 조사 방해에 해당한다고 보고 KT를 수사기관에 고발하기로 했다.

[서울=뉴시스] 조수정 기자 = 송경희 개인정보보호위원회 위원장이 29일 오후 서울 종로구 정부서울청사에서 제15회 위원회 전체회의를 주재하고 있다. 2026.07.29. [email protected]

한편 개인정보위는 이번 처분이 개인정보 유출을 넘어 실제 금전 피해가 발생한 사고에 대해 이동통신망 관리 책임을 묻고 사고 은폐와 조사 방해 행위도 별도로 고발했다는 데 의미가 있다고 설명했다.

송경희 개인정보위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다"며 "특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하겠다"고 밝혔다.


◎공감언론 뉴시스 [email protected]