1만6000명 정보 유출·무단 소액결제…KT에 과징금 539억 철퇴 작성일 07-30 20 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">개인정보위, 안전조치 의무 위반 판단…홈페이지에 처분 사실 공표 명령<br>368명에게 2억4000만원 피해…비인가 펨토셀 11개월간 내부망 접속<br>로그 삭제·거짓자료 제출 KT 고발…서버 폐기 LGU+는 수사의뢰</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="B9RkA4V7sR"> <p contents-hash="7d99e25b46feaa16269b4cf368c7782055234d799798392e8877948f34a95504" dmcf-pid="b9RkA4V7OM" dmcf-ptype="general">[뉴스토마토 이지은 기자] 개인정보보호위원회가 지난해 발생한 <span>KT(030200)</span> 불법 소형기지국(펨토셀) 개인정보 유출 사고에 대해 539억원대 과징금을 부과했습니다. 개인정보 유출에 그치지 않고 무단 소액결제라는 실제 금전적 피해로 이어진 데다, 펨토셀의 실질적인 운영주체인 KT가 내부망에 대한 기본적인 접근통제를 소홀히 했다는 판단입니다. </p> <p contents-hash="ee9cb364dc4adb0f6d5e571cf5895da854da1b3bc01b60303a9288b9826762ad" dmcf-pid="K2eEc8fzIx" dmcf-ptype="general">개인정보위는 30일 개인정보보호법을 위반한 KT에 과징금 539억7900만원을 부과하고, 통신망 안전조치 강화와 개인정보 처리업무 거버넌스 체계 정비 등을 담은 시정명령을 의결했다고 밝혔습니다. KT 홈페이지에 제재 처분 사실을 공표하도록 명령하고, 이동통신 네트워크 시스템까지 개인정보보호 관리체계(ISMS-P) 인증 범위를 확대하도록 개선 권고했습니다. </p> <figure class="figure_frm origin_fig" contents-hash="b175153961f12e81b2aac86edb5cf8e2a7229456220c98366cbf8739090d770c" dmcf-pid="9VdDk64qDQ" dmcf-ptype="figure"> <p class="link_figure"><img alt="개인정보보호위원회 현판. (사진=개인정보위)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/30/552844-rQASa10/20260730134452460nbiy.png" data-org-width="520" dmcf-mid="5vrGWjaeDA" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/30/552844-rQASa10/20260730134452460nbiy.png" width="658"></p> <figcaption class="txt_caption default_figure"> 개인정보보호위원회 현판. (사진=개인정보위) </figcaption> </figure> <p contents-hash="a341d3336ebe2714a5e654c340a7b270088537168cdc6547bfe3243cefbddc95" dmcf-pid="2fJwEP8BsP" dmcf-ptype="general">이번 사고는 지난해 9월 KT 이용자들의 무단 소액결제 피해가 잇따라 확인되면서 수면 위로 드러났습니다. 개인정보위는 같은 해 9월10일 조사에 착수했고, KT는 이튿날인 11일 5561명의 개인정보 유출을 처음 신고했습니다. 이후 조사 과정에서 추가 유출이 확인되면서 두 차례에 걸쳐 신고 규모를 확대했습니다. </p> <p contents-hash="b9374de565658addfecc4314f18e473bb6bc70efe03331b5b273c6b46a226c28" dmcf-pid="V4irDQ6bm6" dmcf-ptype="general">조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 자체 제작한 불법 펨토셀에 이를 심어 KT 이동통신망에 접속했습니다. 이후 이용자의 단말기가 불법 펨토셀을 거치도록 유도해 단말기와 내부망 사이의 송·수신 정보를 가로챘습니다. 해커는 이렇게 확보한 정보에 이름과 성별, 생년월일 등 추가 개인정보를 결합해 휴대전화 소액결제를 요청하고, 결제 인증코드가 담긴 문자메시지와 자동응답전화까지 탈취한 것으로 조사됐습니다. </p> <p contents-hash="691d5b2e52ae31e0f8d667bb9da799a71e2ad32302b8fb0979e4f474dad15af6" dmcf-pid="f8nmwxPKw8" dmcf-ptype="general">이 과정에서 알뜰폰 가입자를 포함한 KT 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐습니다. 이 가운데 368명에게 총 2억4000만원 상당의 무단 소액결제 피해가 발생했습니다. 앞서 과학기술정보통신부 민관합동조사단이 발표한 유출 규모는 2만2227명이었지만, 개인정보위는 법인 회선과 다중회선 등 중복을 제외한 실제 정보주체를 기준으로 유출 인원을 1만6647명으로 산정했습니다. </p> <p contents-hash="047179081717b44d359d822490bde13b4bf0ec4197ae2fffd1bb922a294b445f" dmcf-pid="46LsrMQ9I4" dmcf-ptype="general">개인정보위는 이번 사고가 단순한 개인정보 유출을 넘어 실제 재산상 피해로 이어졌다는 점을 무겁게 봤습니다. 개인정보위는 "펨토셀을 통해 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다"고 설명했습니다. </p> <figure class="figure_frm origin_fig" contents-hash="267acff8237008730464995ce0c7eda3e283f8c2cb593d24954bca1de0bb6387" dmcf-pid="8PoOmRx2rf" dmcf-ptype="figure"> <p class="link_figure"><img alt="KT 광화문 사옥. (사진=뉴스토마토)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/30/552844-rQASa10/20260730134453778srnk.png" data-org-width="520" dmcf-mid="qGGzulCEOe" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/30/552844-rQASa10/20260730134453778srnk.png" width="658"></p> <figcaption class="txt_caption default_figure"> KT 광화문 사옥. (사진=뉴스토마토) </figcaption> </figure> <p contents-hash="974ef88ee3c5d2e551d3165d4cec955345ff5ae31760c29863fc038346a02923" dmcf-pid="6QgIseMVEV" dmcf-ptype="general">사고의 직접적 원인으로는 KT의 부실한 펨토셀 관리체계가 지목됐습니다. 펨토셀은 무선통신 신호가 약한 지역의 통신 품질을 높이기 위해 설치하는 소형기지국으로, KT가 직접 설치하고 관리하는 회사 자산입니다. 망 접속 승인과 인증체계, 내부망 접속 허용, 보안통제 역시 KT가 담당합니다. 그러나 사고 당시 인가받지 않은 펨토셀도 KT 내부망에 쉽게 접속할 수 있었던 것으로 드러났습니다. KT는 내부망 접속에 필요한 펨토셀 인증서의 유효기간을 10년으로 설정했고, 접속 인터넷주소(IP)에도 별도의 제한을 두지 않아 타사나 해외 IP에서도 접속이 가능하도록 운영했습니다. </p> <p contents-hash="fe3e396dc62ee4e87e85a0c8a56996d1af2253e8b73cf0c6294ad023323dc1c5" dmcf-pid="PxaCOdRfD2" dmcf-ptype="general">펨토셀 관리서버를 우회할 수 있는 경로도 존재했습니다. 코어망에 접속한 펨토셀에 부여되는 식별정보인 셀 아이디를 제대로 관리하지 않아 비인가 장비의 이상접속을 탐지하거나 차단하는 체계도 갖추지 않았습니다. 그 결과 해커가 불법 펨토셀을 통해 2024년 10월부터 지난해 9월까지 약 11개월간 KT 내부망에 접속했지만, KT는 이를 탐지하지 못했습니다. 무단 소액결제 피해가 발생하고 다수의 민원이 접수된 뒤에야 비정상 접속을 식별했습니다. </p> <p contents-hash="87ec9a615345dc571d4817f43d5a389e60a2c04eebeae497264bd0aec9832abb" dmcf-pid="QMNhIJe4w9" dmcf-ptype="general">개인정보위는 KT가 정보통신망을 통한 불법 접근과 침해사고를 막기 위해 필요한 안전조치 의무를 위반했다고 판단했습니다. 대규모 개인정보를 처리하는 기간통신사업자임에도 이동통신 핵심 네트워크에 대한 기본적인 접근통제와 이상행위 탐지 체계를 갖추지 못했다는 지적입니다. </p> <p contents-hash="af31efcb1ad9578a42843b71e6f725c522099ffef7e46bed425e30897bdf133e" dmcf-pid="xRjlCid8sK" dmcf-ptype="general">개인정보위는 KT에 펨토셀 등 무선통신 장비 전반의 취약점을 점검하고, 통신망 내 개인정보에 대한 불법 접근을 막기 위한 안전조치를 강화하도록 명령했습니다. 개인정보보호책임자(CPO)가 회사 전반의 개인정보 처리업무를 실질적으로 총괄할 수 있도록 책임과 역할을 명확히 하는 등 개인정보 거버넌스도 정비하도록 했습니다. </p> <p contents-hash="dd813a82253a5aa68248f61ed00c3c447064f6407b1232d2bf8ab316139315d1" dmcf-pid="yIHq7ShDwb" dmcf-ptype="general">한편 개인정보위는 펨토셀 사고와 별도로 2024년 발생한 KT 서버 악성코드 감염 사건을 조사하는 과정에서 KT가 로그를 삭제하고 거짓자료를 제출하는 등 조사를 방해한 정황을 확인해 고발하기로 했습니다. </p> <p contents-hash="cb35255c6453470d87352dfac40661d8e128fad2a1c6963d269e4ea478d3a237" dmcf-pid="WCXBzvlwrB" dmcf-ptype="general"><span>LG유플러스(032640)</span>에 대해서도 임직원과 협력사 직원의 개인정보 유출 의혹을 조사했지만, 조사 착수 전 관련 서버의 운영체제를 재설치하거나 서버를 폐기해 정확한 유출 경위와 추가 피해 규모를 확인할 수 없었다고 판단했습니다. 개인정보위는 이를 공무집행방해 소지가 있다고 보고 수사기관에 수사를 의뢰하기로 했습니다. </p> <p contents-hash="1dc0b4cfb4c3b512b5ffa326654e126c0fbe94381b2f419ca4a04c228dcbe34c" dmcf-pid="YhZbqTSrEq" dmcf-ptype="general">이지은 기자 jieunee@etomato.com</p> </section> </div> 관련자료 이전 [단독] 'K-문샷' 이민형 아스테로모프 대표 빈자리, 다시 채운다 07-30 다음 국민이 꼽은 지역의료 해법은 ‘응급·인력·거점병원’…정부, 의료혁신 정책에 반영 07-30 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
