[CBC뉴스] 개인정보보호위원회가 불법 펨토셀(소형기지국) 해킹으로 이용자 개인정보를 유출하고 무단 소액결제 피해를 초래한 KT에 약 540억원의 과징금을 부과했다. 로그 삭제와 허위 진술 등 조사 방해 행위에 대해서는 KT를 고발하기로 했다.

개인정보위는 지난 29일 전체회의를 열고 개인정보 보호법 위반 혐의로 KT에 과징금 539억7천900만원을 부과하고, 시정명령과 개선권고, 공표명령을 의결했다고 30일 밝혔다.

조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 불법 펨토셀에 적용해 KT 이동통신망에 접속한 뒤 이용자와 내부망 간 통신을 가로챘다. 이후 확보한 통신 정보와 이름, 생년월일 등 개인정보를 결합해 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 소액결제를 시도한 것으로 드러났다.

이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6천647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기 식별번호(IMEI)가 유출됐으며, 368명이 약 2억4천만원의 무단 소액결제 피해를 입었다.

개인정보위는 KT의 보안 관리에도 문제가 있었다고 판단했다. KT는 펨토셀 인증서의 유효기간을 10년으로 설정하고 접속 가능한 인터넷주소(IP)를 제한하지 않았으며, 비인가 장비의 접속을 탐지·차단하는 체계도 미흡했던 것으로 조사됐다. 해커는 약 11개월 동안 내부망에 접속했지만 KT는 소액결제 피해가 발생한 이후에야 이를 인지한 것으로 확인됐다.

개인정보위는 KT에 무선통신망 보안 강화와 개인정보 보호체계 개선을 명령하고, 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크까지 확대하도록 권고했다.

별도로 KT는 2024년 로밍렌탈서비스 서버가 악성코드에 감염된 사실을 인지하고도 관계기관에 신고하지 않은 것으로 조사됐다. 또 조사 과정에서 침해 서버 로그를 삭제하고 관련 자료가 없다고 진술했다가, 디지털 포렌식으로 삭제 정황이 확인된 뒤 별도 보관한 로그를 제출한 것으로 나타났다.

개인정보위는 이를 조사 방해 행위로 판단해 KT를 고발하기로 했다.

LG유플러스에 대해서도 수사를 의뢰했다. 개인정보위는 LG유플러스가 개인정보 유출 조사에 앞서 관련 서버를 재설치하거나 폐기해 정확한 유출 경위와 추가 피해 여부 확인을 어렵게 했다고 보고 공무집행방해 혐의로 수사기관에 사건을 넘기기로 했다.

개인정보위는 이번 사건을 계기로 증거 은닉·폐기에 대한 처벌을 강화하고, 신고포상금 제도와 자료보전명령, 이행강제금 도입 등을 포함한 개인정보보호법 개정을 추진할 계획이다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자