소형기지국 펨토셀을 해킹 당해 이용자 1만6647명의 개인정보가 유출되고 무단 소액결제 피해도 발생한 KT에 개인정보보호위원회가 약 540억원의 과징금을 부과했다. 접속기록(로그) 삭제와 거짓 진술 등 조사 방해 행위에 대해서도 KT를 수사기관에 고발하기로 했다.

개보위는 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과하기로 의결했다고 30일 발표했다. 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 자체 제작한 불법 펨토셀에 이를 심어 KT 이동통신망에 접속했다. 이용자 단말과 내부망 사이에서 오가는 정보를 가로채고 추가로 확보한 이름, 생년월일 등과 결합해 소액결제를 시도했다. 이 과정에서 알뜰폰 가입자를 포함한 1만6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 368명에게 약 2억4000만원의 무단 소액결제 피해도 발생했다.

개보위는 KT의 펨토셀 관리가 부실했다고 판단했다. 펨토셀 인증서 유효기간을 10년으로 너무 길게 설정하고 접속 인터넷주소(IP)를 제한하지 않아서다. 해커는 2024년 10월부터 지난해 9월까지 약 11개월간 내부망에 접속했지만 KT는 소액결제 피해 민원이 발생한 뒤에야 이를 파악했다.

업계에서는 KT 과징금 규모가 예상보다 적게 나온 것으로 보고 있다. 지난해 2324만명 개인정보를 유출한 SK텔레콤의 경우 무선 매출액의 약 1%(1348억원)가 과징금으로 부과됐다. KT는 유출 규모는 작지만 실제 무단 결제로 금전적 피해가 발생다는 점에서 1000억원 안팎의 과징금을 예상하는 분위기가 적지 않았다. 개보위 관계자는 “유출 정보 자체가 3가지로 적고 피해보상과 시정조치가 신속하게 이뤄진 점을 반영해 과징금을 결정했다”고 설명했다.

개보위는 KT의 조사 방해 행위에 대해서도 고발하기로 했다. 개보위에 따르면 KT는 지난해 4월 악성코드 감염 여부를 전수 점검하는 과정에서 침해 서버 10대의 로그를 삭제했다.

개보위는 조사 전 증거를 은닉·폐기해도 형사처벌하고 전체 매출의 3%까지 과징금을 부과할 수 있도록 제도 개선을 추진할 계획이다. 조사 비협조 시 하루 매출의 0.3%를 이행강제금으로 부과하는 방안도 추진한다.

라현진 기자 raraland@hankyung.com