시사1 장현순 기자 | 불법 소형기지국(펨토셀) 해킹으로 이용자 1만6천여명의 개인정보가 유출되고 무단 소액결제 피해가 발생한 KT에 약 540억원의 과징금이 부과됐다. 개인정보보호위원회는 조사 과정에서 로그를 삭제하고 허위 진술을 하는 등 조사 방해 행위가 있었다고 판단해 KT를 고발하기로 했다.
30일 업계에 따르면 개인정보보호위원회는 전날 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령을 의결했다. 조사 결과, 해커는 유실된 KT 펨토셀에서 추출한 인증서를 불법으로 제작한 펨토셀에 탑재한 뒤 KT 이동통신망에 접속해 이용자 단말기와 내부망 사이를 오가는 통신 정보를 가로챘다. 이후 확보한 정보에 이름과 생년월일 등 추가 개인정보를 결합해 소액결제를 시도하고, 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 결제를 진행한 것으로 나타났다. 이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐으며 368명이 약 2억4000만원의 무단 소액결제 피해를 입었다. 유출 인원은 KT가 당초 신고한 2만2227명에서 법인·다중회선 등 중복을 제외한 실제 정보주체 기준이다.
뿐만 아니라 KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않아 타사나 해외 IP를 통한 접속도 가능하도록 운영한 것으로 드러났다. 또 펨토셀 관리 서버를 우회하는 경로가 존재했고, 코어망 접속 시 부여되는 셀 아이디(Cell ID)를 제대로 관리하지 않아 비인가 장비의 이상 접속을 탐지하거나 차단하는 체계도 미흡했던 것으로 확인됐다. 해커는 별도 인증 절차 없이 약 11개월 동안 KT 내부망에 접속했지만, KT는 소액결제 피해 민원이 발생한 이후에야 비정상 접속 사실을 인지한 것으로 조사됐다.
개인정보위는 이러한 위반 정도를 ‘중대한 위반’으로 판단해 과징금을 부과하고 무선통신망 장비 보안 강화와 개인정보 보호 거버넌스 정비 등을 명령했다. 양청삼 개인정보위 사무처장은 브리핑에서 “무단 소액결제라는 2차 피해가 발생했다는 점을 매우 심각하게 봤다”면서도 “확인된 유출 규모가 상대적으로 적고 유출 정보가 IMSI 등 3종에 불과했던 점, KT가 피해 보상과 시정조치에 협조한 점 등을 종합적으로 고려했다”고 설명했다.
