‘부실 보안’ KT, 개인정보 유출 과징금 540억 ‘철퇴’

[한국금융신문 김재훈 기자] KT가 지난해 발생한 고객 개인정보 유출 사고에 관련해 개인정보보호위원회로부터(이하 개인정보위) 과징금 철퇴를 맞았다. 이와 함께 사고 조사 과정에서 발생한 조사 방해 협의로 고발까지 당했다.

31일 업계에 따르면 개인정보위는 지난 29일 제15회 전체회의를 열고 KT 고객 정보 유출 사고에 대해 과징금 539억7900만 원을 부과했다. 이와 함께 개인정보위는 함께 조사한 KT의 악성코드 감염건과 관련해선 조사 방해 행위를 이유로 KT를 고발하기로 했다.

앞서 지난해 8월 경기 광명시와 서울 금천구 등에서 KT 가입자 대상으로 새벽 시간 특정 지역에서 의문의 무단 소액결제 사건이 발생했다. KT는 이에 대해 불법 초소형 기지국(펨토셀)을 통한 일부 고객 정보 유출 정황을 확인했다고 밝혔다.
펨토셀은 무선통신 품질 개선을 위해 가정이나 사무실, 지하 등 무선통신 신호가 약한 음영지역 해소를 위한 소형 기지국이다.

이번 고객 개인정보 유출 사고는 KT의 펨토셀 관리 부실에서 시작됐다. KT는 내부망 접속용으로 펨토셀에 부여하는 인증서의 유효기간을 10년으로 길게 설정했고, 접속 IP를 자사 대역으로 제한하지 않아 타사나 해외 IP에서도 내부망에 접속할 수 있는 상태 등으로 운영했다.

개인정보위는 “해커가 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 이식한 뒤 KT 통신망에 접속해 네트워크 송수신 정보를 가로챘다”며 “이 과정에서 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐고, 이 가운데 368명을 대상으로 2억4000만원 상당의 무단 소액결제 피해가 발생했다”고 밝혔다.

KT 측은 개인정보위 발표 이후 "처분 결과를 무겁게 받아들인다“며 ”국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 고개 숙여 깊이 사과드린다"고 밝혔다.

한편 개인정보위는 KT뿐만 아니라 LG유플러스의 개인정보 유출건도 다뤘다. 개인정보위는 지난해 미국 보안 전문지 프랙이 공개한 유출 사실을 인지해 조사에 착수했으나, LG유플러스가 조사 착수 전 관련 서버의 운영체제를 재설치하거나 폐기해 유출 경위 확인에 한계가 있었다.
결국 개인정보위는 LG유플러스에 대해 업무 방해 혐의 등으로 수사 기관에 의뢰하겠다는 뜻을 전했다.

김재훈 한국금융신문 기자 rlqm93@fntimes.com