LG유플러스, 조사 전 서버 폐기 시도 정황…증거 은닉 제도 개선 추진
개인정보보호위원회가 불법 소형 기지국(펨토셀)을 이용한 개인정보 유출 사고와 관련해 KT에 539억7900만원의 과징금을 부과했다.
개인정보보호위원회는 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령 등을 의결했다고 30일 밝혔다.
개인정보위는 KT에 대한 과징금 제재와 별도로 개인정보 보호법과 '개인정보 보호 법규 위반에 대한 고발기준'에 따라 KT를 수사기관에 고발하기로 했다. 개인정보위는 KT가 2024년 3월 악성코드 감염 사실을 정부에 신고하지 않았고, 침해가 발생한 서버 일부의 로그를 삭제한 데 이어 조사 과정에서 거짓 자료를 제출하는 등 조사 활동을 방해했다고 판단했다.
조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 거치도록 유도해 단말과 내부망 간 송수신 정보를 가로챘다. 이어 확보한 정보를 추가로 확보한 이름·성별·생년월일 등 개인정보와 결합해 휴대전화 소액결제를 요청한 뒤 결제인증코드가 포함된 ARS·SMS를 탈취하는 방식으로 무단 소액결제에 성공했다.
이 과정에서 알뜰폰 가입자를 포함한 KT 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 또 368명을 대상으로 약 2억4000만원 규모의 무단 소액결제 피해가 발생한 것으로 조사됐다. 개인정보위는 단순한 개인정보 유출을 넘어 실제 금전 피해가 발생했다는 점에서 사안이 중대하다고 판단했다.
개인정보위는 펨토셀 운영과 이동통신망 접속, 이용자 인증 및 개인정보 전송에 대한 관리 책임이 KT에 있다고 봤다. KT는 인증서 유효기간을 10년으로 운영하고 접속 IP 제한을 두지 않았으며, 비인가 셀 ID를 탐지하는 체계도 구축하지 않은 것으로 조사됐다. 해커는 이를 이용해 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월 동안 KT 내부망에 접속했지만 KT는 이상 접속을 탐지하지 못했다.
개인정보위는 KT에 펨토셀 등 무선통신망 장비 전반에 대한 취약점 점검과 접근통제 강화, 개인정보 보호책임자(CPO)의 책임과 역할 강화 등을 포함한 재발 방지 대책을 마련하도록 시정명령했다. 이동통신 네트워크 시스템까지 개인정보보호 관리체계(ISMS-P) 인증 범위를 확대하도록 개선도 권고했다.
조사 착수 전 관련 서버의 운영체제를 재설치하거나 서버를 폐기한 LG유플러스에 대해서는 수사기관에 수사를 의뢰하기로 했다. 개인정보위는 LG유플러스가 관련 서버를 폐기하는 등 개인정보 유출 경위와 추가 유출 여부를 확인하기 어렵게 했다고 판단했다.
개인정보위는 이번 사건을 계기로 조사 착수 전 증거 은닉·폐기 행위에 대한 형사처벌과 과징금 부과, 신고포상금 지급, 자료보전명령 도입 등을 포함한 제도 개선을 추진할 계획이다. 조사 비협조 또는 시정명령 미이행 시 일 매출액의 0.3%에 해당하는 이행강제금을 부과하는 방안도 추진한다.
송경희 개인정보위 위원장은 "이번 처분이 통신업계 전반의 보안 역량을 높이는 계기가 되길 바란다"며 "사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 이어지도록 제도를 개선해 투명한 공개가 가장 합리적인 선택이라는 인식이 자리 잡도록 하겠다"고 말했다.
