[일문일답] "KT 540억 과징금은 불법 펨토셀 건…악성코드 감염은 별도 처분" 작성일 07-30 15 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="quu8zvlwhH"> <figure class="figure_frm origin_fig" contents-hash="46c2c6ed36879fcb386f1af18c2a78eb9ca58ff95d7b56e6314c87b74038aa7a" dmcf-pid="B776qTSrlG" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/30/552796-pzfp7fF/20260730123749010zdvn.jpg" data-org-width="640" dmcf-mid="zt76qTSrvX" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/30/552796-pzfp7fF/20260730123749010zdvn.jpg" width="658"></p> </figure> <p contents-hash="097cb0c8a0ab8039a188584964da2463320b36a11a628671310cde45fa0433d4" dmcf-pid="bzzPByvmlY" dmcf-ptype="general">[디지털데일리 김보민기자] 개인정보보호위원회가 불법 초소형 기지국(펨토셀)을 통해 무단 소액결제가 발생하고 개인정보가 유출된 KT에 과징금 약 540억원을 부과했다.</p> <p contents-hash="c698d53110a2025c3b8a7b60f9837402ceb69f124a4a562c0dd91764959a9143" dmcf-pid="KqqQbWTsvW" dmcf-ptype="general">개인정보위는 30일 서울 종로구 정부청사에서 브리핑을 열고 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과한다고 발표했다. 조사 결과, KT는 펨토셀을 통한 이동통신 핵심 네트워크, 시스템 접근통제 관리 소홀로 1만6647명의 개인정보를 유출했다. 유출된 정보는 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이다.</p> <p contents-hash="991784d1b3d120dd69d6d8652775b8e202b9446d82866cd78010c074c8f41d86" dmcf-pid="9BBxKYyOhy" dmcf-ptype="general">개인정보위는 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 행위에 대해 고발 조치도 취하기로 의결했다. KT는 2024년 3월 악성코드 감염 사고가 발생했을 당시 개인정보 유출 분석을 소홀히 하고 정부에 신고하지 않았고, 사고 서버의 로그 일부를 삭제하고 입장을 번복한 것으로 확인됐다. 이에 대한 처분은 별도로 이뤄질 방침이다.</p> <p contents-hash="e482cf8045f185cee937f2a1a528f71642a72e5eb483126217e0116cfb14854e" dmcf-pid="2KKR2HYCST" dmcf-ptype="general">이와 별개로 개인정보위 조사 착수 전 통합비밀번호관리시스템(APPM) 서버 등 운영체제(OS)를 재설치 및 폐기한 LG유플러스에는 수사 의뢰가 이어질 예정이다. 개인정보위는 지난해 미국 보안 전문지 '프랙'의 보고로 개인정보 유출 의혹이 불거져 조사가 필요했지만, LG유플러스가 서버 폐기로 공무집행방해 행위를 취했다고 판단했다.</p> <p contents-hash="765e9a6c08b4208949cf590268f20cfd3fb84afbf5c052d8f411d660cb16fbff" dmcf-pid="V99eVXGhvv" dmcf-ptype="general">다음은 이날 브리핑에 참석한 개인정보위 양청삼 사무처장, 이재형 조사조정국장, 강대현 조사총괄과장, 이정은 조사2과 과장과의 일문일답.</p> <p contents-hash="39da43b57efa34a08f991f16a6ad6c93f8460f63443e828a6dac179f783eb391" dmcf-pid="f22dfZHlCS" dmcf-ptype="general"><strong>Q. 무단 소액결제와 같은 금전 피해가 발생했다는 점에 가중 처벌은 없었나. SK텔레콤 등 다른 통신사 사고와 비교했을 때 가중·감경 산정에 차이가 있었나.</strong></p> <p contents-hash="1f477883ead419d5e91a9c0c98255e3e26a376eef4738b443fe1a3dd9cafa0a0" dmcf-pid="4VVJ45XSvl" dmcf-ptype="general">A. (양청삼 사무처장) 2차 피해가 발생했다는 점에서 굉장히 심각한 요소로 보았다. 타 사례와 비교했을 때 유출 규모가 상대적으로 소규모였고 유출된 정보 자체가 임시값·기기 단말기 정보·전화번호 등 3종에 불과했다는 점, 피해 보상과 시정 조치에 신속하게 협조가 됐다는 점을 감안했다.</p> <p contents-hash="e63845a3574504af9c7913fdce966c547de0a92b99393b1c7c296cd864552265" dmcf-pid="8ffi81ZvTh" dmcf-ptype="general"><strong>Q. 실제로 산정 기준이 된 구체적인 액수는 얼마인가. 별개로 임시회의를 열어 KT 처분을 의결한 이유는 무엇인가.</strong></p> <p contents-hash="68ecf7f5fc9fd9b780f5eec56fcf2d57b50d35f54abc663f723b9e06c127ce2d" dmcf-pid="644n6t5ThC" dmcf-ptype="general">A. (양청삼 사무처장) 처리 시점과 관련해 특별한 이유가 있지 않다. 전체적으로 유출 신고와 사건이 많아지고 있어 위원회 역량을 최대한 동원해야 한다고 판단했다. 제재 처분이 확정돼야 이후 법정 손해배상 등이 진행될 수 있기 때문에 역량을 모았다. 필요하다면 정기적인 전체회의 외에 추가적으로 회의를 적극적으로 개최하자는 입장이다.</p> <p contents-hash="1a2fb171793c228a2890cc7423bd4d28ad8bd33fab3605710dbc84e405d03205" dmcf-pid="P88LPF1yCI" dmcf-ptype="general">또한 KT 사건의 경우 무선통신 매출액을 기본으로 (산정)했다. LTE와 5G 매출을 종합적으로 포함시켰다. 위반 기간, 피해 규모, 시정조치 등 노력을 전체적으로 감안했다. 구체적인 수치는 추후 의결서가 확정되는 과정에서 공유할 예정이다.</p> <p contents-hash="55813d1ff42fbd505af363f8b8e3f524d050c8d4bdaf37982583859205a53fb1" dmcf-pid="Q66oQ3tWSO" dmcf-ptype="general"><strong>Q. 정확히 어떤 요인이 감경 요인으로 작동했나. 또한, KT 무선 서비스 연평균 매출이 6조원 정도인데, 이번 과징금은 이에 0.8% 수준이다. SK텔레콤 (유출 사고와) 비교했을 때 낮게 산정된 것인가.</strong></p> <p contents-hash="ff70bfa5496fa541f4eabc69f70fdf65155034b221fd97278f1f7479691035aa" dmcf-pid="xMMjeupXSs" dmcf-ptype="general">A. (양청삼 사무처장) 이번 제재는 소액결제에 대한 처분이다. 여전히 악성코드 건은 남아 있다. 개인정보위 조사는 행정 조사 특성을 갖고 있는데, 이것으로만 구속할 수 있는 증거에는 한계가 있다. 적극적으로 고발 조치를 하고 있고 새로운 사실이 확인되면 그에 대한 별도 처분이 예정돼 있다.</p> <p contents-hash="eabae37c2cfd3cd166cae1abba03dcb0b798d0ded82a1b7ff6da79954ce35f55" dmcf-pid="yWWpGcjJvm" dmcf-ptype="general">타 유사 사업자 사례와는 매출액 산정에 차이가 있었다. 타 사업자의 경우 피해 규모가 2300만명에 달했지만 (KT 건은) 1만6647명이었다. 이러한 부분이 종합적으로 고려됐다.</p> <p contents-hash="9f154fccaac1ed3e941516ac0b940f8ff1ea736523ae499d638bfd02254ce593" dmcf-pid="WYYUHkAiSr" dmcf-ptype="general">(이재형 국장) 개인정보위는 과징금을 산정할 때 기본적으로 관련 매출액을 기준으로 한다. 이후 해당 위반 행위가 얼마나 중대한지 '중대성'을 판단한다. 이전 사건의 경우 유출된 정보 유형에 인증 정보가 있었다. 피해 규모 또한 2000만명이 넘었다. 이러한 점에 차이가 있어 중대성 판단 또한 달리했다고 볼 수 있다.</p> <p contents-hash="f5b059df89817bdbe00b8a2f7b69dba0ba0578b0ae1b4823ea992e7f75fca91e" dmcf-pid="YPPgx0FYWw" dmcf-ptype="general"><strong>Q. 직간접적인 피해 규모에 따라, 과징금을 부과할 때 매출액을 산정하는 것으로 알고 있다. 간접적인 피해 규모는 어떤 기준으로 잡았나.</strong></p> <p contents-hash="bad7ed72280c13d65c8fb381109af6b1b5fe45c2eed7c0c68366688d2b67be09" dmcf-pid="GQQaMp3GlD" dmcf-ptype="general">A. (양청삼 사무처장) 펨토셀은 LTE에서 기본적으로 사용되는 장비다. 5G 서비스의 경우 신규로 도입된 이후에도 인프라 확충에 시간이 걸리기 때문에 5G 통신설비가 없는 곳에서는 LTE망을 겸용으로 이용한다. 이에 5G와 LTE 서비스를 포함해 매출액 산정에 고려했다.</p> <p contents-hash="c10740d2a9ce8712d6c2e881def783cfe6580b398174c0f2ac6ac7f44ae70a74" dmcf-pid="HxxNRU0HWE" dmcf-ptype="general"><strong>Q. LG유플러스의 경우 지난해 말 과학기술정보통신부 민관합동조사단 결과 발표 때 같은 내용으로 수사 의뢰가 진행된 것으로 알고 있다. 이번 수사 의뢰는 별건인가.</strong></p> <p contents-hash="7e1f78ca4caae8baa65812810de63177520fee91ea410b3c85a52b792d661fc6" dmcf-pid="XMMjeupXvk" dmcf-ptype="general">A. (양청삼 사무처장) 동일 안건이다. 조사 과정에서 확인된 사실관계를 추후 경찰청에 제공해 관련 수사가 효과적으로 진행되도록 하겠다.</p> <p contents-hash="5862a830f2602a510021bbb08039703f5b5e79a2b6762ee8eed6c23d93f79f26" dmcf-pid="ZRRAd7UZvc" dmcf-ptype="general"><strong>Q. SK텔레콤 사고의 경우 당시 브리핑에서 '매우 중대한 위반 행위'라고 언급했고, 이번 KT 건에 대해서는 '중대한 위반 행위'라고 판단했다. 두 사건의 중대성 등급이 다른 건가</strong></p> <p contents-hash="44ff68ff6ff9a8ac25d21c80c8d4cb5f772a185af630263e713f473511304a8f" dmcf-pid="5eecJzu5yA" dmcf-ptype="general">A. (양청삼 사무처장) '매우 중대한 위반'과 '중대한 위반'에는 등급에 차이가 있다. 가장 핵심적인 요소가 피해 규모와 영향에 관련된 부분이다. 2차 피해가 난 부분을 굉장히 중요하게 봤고, 이 부분에 대해 위원들 간 치열한 논의가 있었다. 특히 2차 피해 여부를 어떻게 판단할지 논의했다.</p> <p contents-hash="07a21b1714b2d78ed513ed601340972c4c5e5fa401b9a7cbc190f044723a6476" dmcf-pid="1ddkiq71Cj" dmcf-ptype="general"><strong>Q. 전날 전체회의에 LG유플러스 조사 중지에 대한 보고가 올라간 것으로 알고 있다. 추후 경찰 수사 결과가 나오면 조사를 재개할 예정인가. 개인정보위 출범 이후 조사가 중단된 사례가 있나.</strong></p> <p contents-hash="91928d9348a997f5437cddc343d78f594b299595dbfad7009cb060978fb2c496" dmcf-pid="tJJEnBzthN" dmcf-ptype="general">A. (양청삼 사무처장) 새로운 사실이 확보되면 이를 통해 조사와 제재를 진행하게 된다.</p> <p contents-hash="5d5673de0b0f6dcefac457fc5878fdea43dea504d7332b1a890061f540dead1d" dmcf-pid="FiiDLbqFla" dmcf-ptype="general">(이재형 국장) 위원회 조사 규정에 피심인 측이 연락이 두절되거나 수사 결과를 기다려야 하는 경우 (조사를) 중단할 수 있는 내용이 있다. 이번 경우에는 수사 결과를 확인해 위법 사항을 더 면밀히 살펴보겠다는 취지의 단계에 있다.</p> <p contents-hash="fb216b8288658a3317445ee5355acb0dc0828bf983cd82b6b6198597145acc7b" dmcf-pid="3ooma2Kphg" dmcf-ptype="general">LG유플러스의 경우 과거 민관합동조사단에서 발표했듯, 유출 정황에 대해 인지한 이후 위원회 차원의 조사가 진행되기 전 서버 운영체제 삭제와 폐기 행위가 있었다. 이런 부분에 대해 은닉 가능성을 배제할 수 없어 수사를 의뢰하게 됐다.</p> <p contents-hash="811b226d45c0e0c5829ae0f03413ad053da4e0f2fb368b5c17d5ccf11d7ea247" dmcf-pid="0ggsNV9Ulo" dmcf-ptype="general"><strong>Q. 과거 과기정통부 민관합동조사단에서 악성코드 감염과 관련해 로그 1개로 유출 여부를 확인하기 어렵다고 했다. 이에 KT도 개인정보위에 유출 신고를 하지 않은 것으로 알고 있다. 다만 이번 개인정보위 조사 결과에 '임직원 개인정보 유출 정황을 확인했다'고 돼 있는데, 실제 피해가 발생한 것인가.</strong></p> <p contents-hash="f75237ea6cd9292fb9fee88b8d0e42451b094a50702474e4363d415b203c509b" dmcf-pid="paaOjf2uWL" dmcf-ptype="general">A. (이정은 과장) 과기정통부 민관합동조사단에서 결과를 발표할 당시에는 감염 사실이 있었지만 개인정보 유출은 추가적으로 확인되지 않았다. 개인정보위는 이후 조사를 진행하는 과정에서 당시 서버에 있던 SQL인젝션 공격을 확인했고, 개인정보 유출 부분도 발견했다.</p> <p contents-hash="1dabc3396f2e53955869d774c06756f0b34311e9bc6db3706df9a9bfd74d51e9" dmcf-pid="UNNIA4V7ln" dmcf-ptype="general">다만 조사를 완료한 단계가 아니고 고발을 통해 추가적인 사실관계 확인이 진행될 예정이다. 정확한 사실관계에 대한 부분은 추후 정리해 공유하겠다.</p> <p contents-hash="4fa8df1cddc7f511e9226ef2e9e325089b735c4623baebb798182f97ee351d39" dmcf-pid="ujjCc8fzSi" dmcf-ptype="general"><strong>Q. 증거를 은닉하거나 폐기할 경우 과징금(전체 매출액의 3%)을 부과하는 제도 개선을 예고했다. 구체적인 기준이 마련됐나.</strong></p> <p contents-hash="202991e13b8d924bf81b70829aa046f07fb8ef601b85a15978962c1ff366e2d4" dmcf-pid="7AAhk64qlJ" dmcf-ptype="general">A. (강대현 총괄과장) 입법안을 준비하는 단계다. 위법 행위 내용이 다르고 은닉·폐기에 대한 정도를 고려해야 하기에 세부 산정 기준은 차이가 있을 것이다. 세부적인 사항은 입법 후 시행령을 만드는 과정에서 구체화하겠다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 '지구에서 제일 빠른 사나이' 사바스티안 사웨…12월 한국서 뛴다 07-30 다음 "가방에 약물 항상 갖고 다녀"…'金 7개' 美 올림픽 스타 충격 고백→"거의 죽을뻔, 응급 불안 항상 준비" 07-30 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
