서울 시내 한 KT 대리점 모습 / 사진=김범준 기자
서울 시내 한 KT 대리점 모습 / 사진=김범준 기자
가짜 소형 기지국(펨토셀)을 통한 해킹으로 이용자 개인정보가 빠져나가고 휴대전화 소액결제 피해까지 발생한 KT에 540억원에 육박하는 과징금이 부과됐다. 개인정보보호위원회는 악성코드 감염 사실을 신고하지 않고 로그를 삭제하는 등 조사를 방해한 KT를 고발하고, 조사 착수 전 서버를 폐기해 증거를 인멸한 LG유플러스는 수사기관에 수사를 의뢰하기로 했다.

인증서 유효기간 10년…비인가 펨토셀, 11개월간 무단 접속

개인정보위는 지난 29일 전체회의를 열어 개인정보 보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령·개선권고·공표명령을 의결했다고 30일 밝혔다.

이번 사고는 KT가 통신 음영지역 해소를 위해 운영하는 소형 기지국 '펨토셀'이 뚫리면서 발생했다. 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속했다. 이용자 단말이 해커의 펨토셀을 거치도록 유도해 단말과 내부망 사이 송·수신 정보를 가로챘고, 별도로 확보한 이름·성별·생년월일과 결합해 소액결제를 요청한 뒤 결제인증코드가 담긴 ARS·SMS까지 탈취했다.

이 과정에서 알뜰폰 가입자를 포함한 KT 이용자 1만6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제 피해도 확인됐다. 개인정보 유출이 실제 금전 피해로 이어진 사례라는 점에서 심각성이 크다는 게 개인정보위 판단이다.

책임 소재를 두고는 펨토셀의 운영 주체가 쟁점이었다. 펨토셀은 KT 인터넷 이용 고객을 대상으로 KT 설치기사가 직접 설치해주는 장비로, 이용자에게 판매되지 않는 KT 자산이다. 망 접속 승인과 인증체계 관리, 내부망 접속 허용, 보안통제·운영도 모두 KT가 맡는다. 개인정보위는 이용자가 설치 장소 등 운영환경만 제공하는 만큼 실질적 운영 주체는 KT이며, 인증 과정의 개인정보 전송에 대한 관리통제권도 KT에 있다고 판단했다.

조사 결과 사고 당시 KT의 펨토셀 관리체계는 전반적으로 부실했다는 지적이다. 내부망 접속용 펨토셀 인증서의 유효기간을 10년으로 길게 설정했고, 접속 IP를 제한하지 않아 타사나 해외 IP에서도 접속이 가능했다. 펨토셀 관리서버를 우회하는 경로가 존재했고, 코어망 접속 시 부여되는 셀 아이디(Cell ID)도 관리하지 않아 비인가 셀 아이디의 이상 접속을 탐지·대응할 체계를 갖추지 않았다.

그 결과 해커는 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 별도 인증절차 없이 KT 내부망에 드나들며 개인정보를 빼갔지만, KT는 이 이상접속을 탐지하지 못했다. 소액결제 등 2차 피해로 민원이 다수 접수된 뒤에야 비정상 접속을 식별했다.

개인정보위는 과징금과 함께 펨토셀 등 무선통신망 장비 취약점 점검, 개인정보 보호책임자(CPO)의 책임·역할 명확화 등 대책을 수립하도록 시정명령했다. 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크 시스템까지 확대하라는 개선권고도 내렸다.

악성코드 감염 숨기고 로그 삭제…"증거인멸이 유리한 구조 바꾼다"

KT에 대한 고발은 펨토셀 사건 조사 과정에서 별개로 드러난 2024년 3월 악성코드 감염 사고에서 비롯됐다. 개인정보위는 KT IT서비스 네트워크 내 서버 38대가 'BPFDoor' 등 다수 악성코드에 감염된 사실을 확인하고 2025년 11월 조사를 확대했다. 과학기술정보통신부 민관합동조사단이 발표한 감염 서버는 41대였지만, 이 중 3대는 별도 네트워크에서 발생했고 개인정보처리시스템에 해당하지 않아 개인정보위 조사 대상에서 제외됐다.

해커는 KT 로밍렌탈서비스 홈페이지 취약점으로 네트워크에 침투해 악성코드 파일을 올려 서버를 감염시켰고, 관리자페이지에 SQL 삽입공격을 걸어 KT 임직원과 협력사 일부 직원의 이름·전화번호·계정을 조회·유출한 정황이 드러났다. 다만 사고 당시 네트워크 로그가 남아 있지 않아 38대 서버에서 이용자 개인정보가 추가로 유출됐는지는 확인되지 않았다.

문제는 KT의 대응이었다. KT는 2024년 3월 감염 사실을 처음 인지하고도 정부에 신고하지 않았고, 개인정보 유출 여부에 대한 상세 분석 없이 자체 조치로 마무리했다. 2025년 4월 타 통신사 유출 사고를 계기로 서버를 전수 점검하는 과정에서는 침해 발생 서버 일부의 로그를 삭제하는 등 조직적으로 침해 사실을 은폐한 정황도 확인됐다. 개인정보위 조사에서도 처음엔 보존 자료가 없다고 거짓 진술했다가, 디지털포렌식으로 로그 삭제 정황이 적발되자 진술을 번복하고 별도 보관하던 로그를 뒤늦게 제출해 조사를 지연시켰다.

LG유플러스 건은 2025년 8월 미국 보안 전문지 '프랙(Phrack)'이 유출 정황을 공개하면서 시작됐다. 공개된 자료에는 LG유플러스 임직원과 협력사 직원의 이름, 계정 등이 담긴 텍스트 파일이 포함돼 있었고, 개인정보위는 이 정보가 LG유플러스의 통합 비밀번호 관리시스템(APPM)에서 실제 보유·관리하던 것으로 확인했다. 그러나 LG유플러스가 조사 착수 전인 8월 12일과 14일 APPM 서버 등의 운영체제(OS)를 재설치하고 8월 25일 폐기하면서 정확한 유출 경위와 추가 유출 여부는 확인할 수 없게 됐다. 개인정보위는 이를 공무집행방해로 판단해 수사의뢰를 결정했다.

"조사 전 증거인멸도 처벌" 제도 손질

개인정보위는 이런 조사 방해를 막기 위한 제도 개선도 연내 추진한다. 현행 규정은 '조사 중' 은닉 행위에 형사처벌과 과태료를 매길 수 있지만 '조사 착수 전' 행위에는 제재 규정이 없어, 사고가 나면 증거를 미리 없애는 편이 기업에 오히려 유리할 수 있다는 게 개인정보위 설명이다. 개정 방향에는 조사 착수 전 은닉·폐기에 대한 형사처벌 규정 마련, 증거 은닉·폐기 시 전체 매출액의 3% 과징금 부과, 은닉·폐기를 신고해 조사·처분에 기여한 경우 신고포상금 지급, 조사 비협조나 시정명령 미이행 시 일 매출액 0.3%의 이행강제금 부과, 침해사고 발생 시 자료보전명령 도입 등이 담겼다.

송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다"며 "특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 밝혔다.

KT는 "개인정보위 처분 결과를 무겁게 받아들이며 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"고 밝혔다. 이어 "개인정보 보호체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보 보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 했다.

LG유플러스 또한 "이미 경찰 수사가 진행 중이다. 앞으로도 경찰 수사에 성실히 임하겠다"고 밝혔다.

홍민성 한경닷컴 기자 mshong@hankyung.com