SBS Biz

[정부가 해킹 방지를 소홀히 해 이용자에게 안전한 통신 서비스를 제공할 의무를 다하지 못한 책임을 물어 KT에 전 이용자를 대상으로 위약금 면제 조치를 할 것을 29일 요구했다. (사진=연합뉴스)]

개인정보보호위원회가 해커의 내부망 침투를 1년 가까이 탐지하지 못한 KT에 539억7천900만원의 과징금을 부과했습니다. KT는 해커가 유실된 펨토셀을 악용해 약 11개월간 회사 내부망에 접속하는 동안 이를 발견하지 못했습니다.



개인정보위는 어제(29일) 전체회의를 열고 KT의 개인정보 보호법 위반에 대해 과징금 539억7천900만원을 부과하고 시정명령과 공표명령을 의결했다고 오늘(30일) 밝혔습니다.

조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 자체 제작한 펨토셀에 이를 심어 KT 이동통신망에 접속했습니다. 이후 이용자 단말과 내부망 사이의 통신을 가로채 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등을 탈취했습니다.

개인정보위는 당초 신고된 2만2천227건 가운데 법인과 다중회선 등을 제외한 실제 정보주체는 1만6천647명으로 확인됐다고 설명했습니다.

해커는 유출한 개인정보에 이름과 생년월일 등 추가 정보를 결합한 뒤 휴대전화 소액결제를 시도했고, 인증번호가 담긴 문자메시지(SMS)와 자동응답시스템(ARS) 인증까지 가로채 총 368명에게 약 2억4천만원의 무단 소액결제 피해를 입힌 것으로 조사됐습니다.



개인정보위는 KT가 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP를 제한하지 않은 데다 셀 ID 관리와 이상접속 탐지 체계도 제대로 갖추지 않았다고 판단했습니다. 이 때문에 해커가 약 11개월 동안 KT 내부망에 접속했지만 이를 발견하지 못했다고 설명했습니다.

KT는 해당 사고가 전례 없는 신종 공격으로 예측과 대응이 어려웠다고 주장했습니다. 그러나 개인정보위는 해외 사례와 학계에서도 펨토셀 취약성이 지속적으로 제기돼 충분히 예방할 수 있었던 사고라고 판단했습니다.

개인정보위는 KT에 펨토셀을 비롯한 통신설비 전반의 취약점을 점검하고 개인정보 보호책임자(CPO)의 역할을 강화하는 대책을 3개월 안에 마련하도록 시정명령했습니다. 또 이동통신 네트워크와 시스템에 대해서도 개인정보보호 관리체계(ISMS-P) 인증을 받도록 개선을 권고했습니다.

이와 함께 개인정보위는 KT가 2024년 악성코드 감염 사실을 정부에 신고하지 않고 일부 로그를 삭제하거나 조사 과정에서 거짓 자료를 제출해 조사를 방해한 행위에 대해서는 고발을 의결했습니다.

LG유플러스는 개인정보 유출 조사 착수 전 관련 서버의 운영체제를 재설치하거나 서버를 폐기해 정확한 유출 경위 확인을 어렵게 한 것으로 판단돼 공무집행방해 혐의로 수사기관에 수사의뢰됐습니다.

개인정보위는 이번 사건을 계기로 조사 착수 전 증거를 은닉하거나 폐기하는 행위에 대한 처벌 규정을 마련하고, 조사 비협조 시 이행강제금을 부과하는 등 관련 제도 개선도 추진할 계획입니다.