불법 소형 기지국(펨토셀)을 악용한 개인정보 유출 사고가 실제 금전 피해로 이어지자 개인정보보호위원회가 통신업계 보안 관리와 사고 대응 전반에 경고를 보냈다. 펨토셀은 가정이나 사무실, 지하처럼 이동통신 신호가 약한 곳에 설치하는 소형 기지국이다.
개인정보위는 30일 KT에 개인정보 보호법 위반으로 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 처분 사실 공표를 의결했다고 밝혔다. 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 행위는 고발하기로 했다. LG유플러스는 조사 착수 전 서버를 재설치하거나 폐기한 행위와 관련해 공무집행방해 혐의로 수사기관에 수사를 의뢰했다.
이번 사고는 펨토셀이 KT 이동통신망에 접속하면서 발생했다. 해커는 유실된 KT 펨토셀에서 인증서를 확보한 뒤 이를 자체 제작한 펨토셀에 심어 KT 이동통신망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 거치도록 유도해 송수신 정보를 가로챘다. 가로챈 개인정보를 다른 정보와 결합해 휴대전화 소액결제를 시도했고, 인증번호가 담긴 문자메시지(SMS)와 자동응답시스템(ARS) 인증까지 탈취하면서 실제 금전 피해가 발생했다.
개인정보위 조사 결과 실제 개인정보가 유출된 이용자는 1만6647명이다. 과학기술정보통신부 민관합동조사단이 발표한 2만2227건은 중복을 포함한 수치다. 유출된 정보는 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)다. 이 가운데 368명이 약 2억4000만원 규모의 무단 소액결제 피해를 입었다.
개인정보위 관계자는 "이번 사건은 단순 개인정보 유출에 그치지 않고 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 심각성이 매우 크다"며 "대규모 개인정보를 처리하는 이동통신 사업자가 필수적인 안전조치 의무를 소홀히 한 행위에 책임을 물었다"고 밝혔다.
개인정보위는 사고 원인으로 KT의 내부망 접근통제와 펨토셀 관리 부실을 지목했다. KT는 인가된 펨토셀 여부를 확인하는 셀 아이디(Cell ID)를 관리하지 않았고, 내부망에 접속하는 인터넷주소(IP)도 자사 대역 등으로 제한하지 않았다. 인증서 유효기간도 10년으로 설정했다. 해커는 복제한 인증서를 이용해 약 11개월 동안 내부망에 접속했지만 KT는 이를 탐지하지 못했다.
개인정보위 관계자는 "이번 사고는 KT 내부망에 대한 기본적인 접근통제 관리 소홀로 발생했다"며 "인가된 펨토셀만 내부망에 접속하도록 엄격히 관리했어야 했지만 비인가 펨토셀의 비정상 접속을 탐지하지 못했다"고 설명했다.
과징금 산정 과정에서는 실제 금전 피해가 발생한 점을 중대하게 고려했다. 다만 유출된 개인정보 유형과 규모, 소액결제를 위해서는 추가 개인정보가 필요했던 점, KT가 피해 보상을 실시한 점 등을 종합적으로 반영했다고 개인정보위는 설명했다.
KT에는 펨토셀 등 무선통신망 장비의 취약점을 점검하고 접근통제를 강화하도록 시정명령을 내렸다. 개인정보 보호책임자(CPO)의 역할을 강화하는 재발 방지 대책도 3개월 안에 마련하도록 했다. 이동통신 네트워크 시스템까지 개인정보보호 관리체계(ISMS-P) 인증 범위를 확대하도록 개선도 권고했다.
조사 과정에서 드러난 KT의 대응도 제재 대상이 됐다. 개인정보위는 KT가 2024년 3월 악성코드 감염 사실을 인지하고도 정부에 신고하지 않았고, 기록(로그)을 삭제한 것으로 나타났다고 밝혔다. 조사 과정에서는 관련 자료가 없다고 진술했다가 뒤늦게 자료를 제출하는 등 조사 활동을 방해한 것으로 판단했다.
개인정보위는 악성코드 감염 사건은 별도로 조사 중이며 수사 결과에 따라 추가 처분 여부를 결정할 방침이라고 밝혔다.
LG유플러스는 개인정보위 조사 착수 전 APPM 서버 운영체제(OS)를 재설치하거나 서버를 폐기해 정확한 유출 경위와 추가 유출 여부를 확인하는 데 한계가 있었다고 개인정보위는 설명했다. 현행법상 조사 착수 이전의 증거 폐기는 조사방해 규정 적용 대상은 아니지만 개인정보위는 공무집행방해에 해당한다고 보고 수사를 의뢰했다.
개인정보위는 이번 사건을 계기로 조사 착수 전 증거 은닉·폐기에 대한 형사처벌 규정을 신설하고, 증거를 은닉하거나 폐기한 사업자에게 별도 과징금을 부과하는 방안을 추진할 계획이다. 자료보전명령과 조사 비협조 시 이행강제금, 신고포상금 제도도 함께 추진한다.
개인정보위 관계자는 "사고를 은폐하더라도 끝까지 법적 책임을 묻겠다는 원칙을 확인한 것"이라며 "사고 은폐와 조사 방해라는 일부 기업의 고질적인 관행에 경종을 울리고, 증거 은닉이 더 이상 유리한 선택이 아니라는 점을 분명히 하겠다"고 밝혔다. 이어 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신업계 전반의 보안 역량을 한층 강화하는 계기가 되기를 바라며, 투명한 공개가 가장 합리적인 선택이라는 인식이 업계 전반에 뿌리내리도록 하겠다"고 덧붙였다.
