[비즈톡톡] “개인정보 보호책임자가 로그 삭제 지시”… 개인정보위가 KT 고발 의결한 까닭은 작성일 10-14 26 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">2025년 악성코드 감염 서버 38대 로그 삭제 지시… 실제 10대 삭제<br>개인정보 처리시스템 13개 중 10개 미분석 기간 존재<br>“자료 없다”던 KT, 포렌식 조사 후 진술 번복… 개인정보위 “조사 방해” 주장<br>KT “시스템 정비 목적”… KISA “피해 규모 파악 기회 잃었을 가능성”</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="9FVUMxHlgp"> <figure class="figure_frm origin_fig" contents-hash="3bad7d345058c63fb931b14b0e78283380dda2ceb092ce76c47e6a0dda0bde3b" dmcf-pid="23fuRMXSA0" dmcf-ptype="figure"> <p class="link_figure"><img alt="그래픽=챗GPT 달리" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/14/chosunbiz/20261014060230272uwxq.jpg" data-org-width="1672" dmcf-mid="KHOjyTe4aU" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/14/chosunbiz/20261014060230272uwxq.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 그래픽=챗GPT 달리 </figcaption> </figure> <p contents-hash="20637470594d5ca3df1085ec0d206bdc78fccdd1ab8eaaae03de10f353cde8e4" dmcf-pid="VnmavSMVA3" dmcf-ptype="general">“그 회사의 모든 개인정보에 대한 시작부터 끝을 책임져야 하는 직위에 있는 자가 로그(사용자 접속 기록) 삭제를 지시한 것은 처음 봤습니다.”</p> <p contents-hash="9db784849e3b5ec6e51bc919a3f1ce7de10fed6450a7adb47a99fdf26689caf3" dmcf-pid="fLsNTvRfaF" dmcf-ptype="general">이정렬 개인정보보호위원회 부위원장은 지난 7월 29일 열린 제15회 전체회의에서 2025년 당시 KT의 개인정보 보호책임자(CPO)를 두고 이렇게 말했습니다. 이 부위원장에 따르면 해당 CPO는 악성코드에 감염된 서버 38대의 로그 삭제를 지시했고, 일부 직원이 지시에 따르면서 실제로 10대의 로그가 삭제됐습니다.</p> <p contents-hash="159658782cb77b06456c11a2530e7bce311fa77d7276888bef84ae64490b3cc2" dmcf-pid="4oOjyTe4at" dmcf-ptype="general">14일 개인정보위의 제15회 전체회의 속기록에 따르면 KT의 로그 삭제 지시와 자료 제출 경위를 둘러싼 구체적인 문답이 담겼습니다. 지난 9월 말 공개된 속기록에서 개인정보위는 KT가 해킹 사고 당시 개인정보 유출 분석을 소홀히 하고 당국에 신고하지 않았으며, 이후 일부 로그를 삭제했다고 지적했습니다. 조사 과정에서 거짓 자료를 제출하고 진술을 번복한 행위에 대해서는 고발을 의결했습니다. KT 측은 로그 삭제가 시스템 정비 과정에서 이뤄졌으며, 조사 방해나 은폐 목적은 없었다고 주장했습니다.</p> <p contents-hash="efce38bd6bb0cdc9d320a44cbc0b50e9592d4f6ebc92cc1cdc85279751e9d3ba" dmcf-pid="8gIAWyd8o1" dmcf-ptype="general"><strong>◇ KT “유출 정황 없음”… 13개 시스템 중 10개에 미분석 기간 존재</strong></p> <p contents-hash="b366c9257e6f64911299152fa132ef477813a88705085c6eca6e75b5ee72d6e4" dmcf-pid="6aCcYWJ6A5" dmcf-ptype="general">개인정보위 조사 결과에 따르면 공격자는 2024년 3월 KT 로밍 홈페이지 예약 입력창의 ‘SQL 인젝션’ 취약점을 이용해 침투했습니다. 입력창에 악의적인 명령을 넣어 데이터베이스에 접근하는 공격 방식입니다. 공격자는 로밍 렌탈 서버 관리자 페이지에서 임직원 정보를 조회한 뒤 여러 서버에 악성코드를 설치했습니다.</p> <p contents-hash="8aa87fbf98bf7244c6216d5c7634ab67cc160d5c9ae855a1744cd1a06357c313" dmcf-pid="PNhkGYiPkZ" dmcf-ptype="general">개인정보위는 KT가 2024년 3월 5일 침해 사실을 처음 인지하고도 정부에 신고하지 않은 채 자체 조치했다고 보고했습니다. KT 측은 악성코드 확산 차단과 잔존 여부 점검 등을 거쳐 같은 해 8월 관련 조치를 모두 마쳤다고 설명했습니다.</p> <p contents-hash="333c6312f572b6ba741c751994a0d7b851106e661c87ad2bc91dee6f7742aea1" dmcf-pid="QjlEHGnQaX" dmcf-ptype="general">그러나 개인정보위에 따르면 KT는 최초 공격이 발생한 로밍 서버의 SQL 인젝션 공격을 확인하고도 해당 공격에 대한 분석보고서를 작성하지 않았습니다. 다른 서버의 자체 분석보고서에도 사실관계와 공격 분석, 시스템·웹로그 분석 등 상세 내용이 빠져 있었습니다.</p> <p contents-hash="c70c5a3cfb0957c25b8df03fdcf868e255a6c58b9bf004e92884839ca7d3b575" dmcf-pid="xASDXHLxaH" dmcf-ptype="general">이 부위원장은 KT가 제출한 2024년 7월 3일자 탐지·대응 분석 현황자료를 언급하며, 개인정보 처리시스템 13개 중 10개에 상당한 미분석 기간이 있었다고 지적했습니다. 악성코드가 설치돼 있던 기간을 충분히 분석하지 않고도 자체 보고서를 ‘이상 없음’ ‘유출 정황 없음’으로 정리했다는 것입니다.</p> <p contents-hash="8980c960d8f5d672f76fdcedabcaff901970118527d187fee651a296d5f5a75f" dmcf-pid="yU6qJd1yjG" dmcf-ptype="general">이후 당국 조사에서는 KT 임직원과 협력사 근로자 23명의 이름·전화번호·계정 정보 유출이 확인됐습니다. 다만 감염 서버에서 처리한 이용자 개인정보의 추가 유출 여부는 확인하지 못했습니다. 개인정보위는 KT가 사고 당시 증거자료를 충실히 수집·보존하지 않았고, 조사 시점에는 당시 네트워크 로그의 보유기간도 지나 사실관계 확인에 한계가 있었다고 설명했습니다.</p> <p contents-hash="e26beb18ceae56cdcb3f2901363a7f407efa23c995e3768846f7346b9a89a156" dmcf-pid="WuPBiJtWAY" dmcf-ptype="general"><strong>◇ 외부 보안점검 앞두고 로그 삭제… KT “시스템 정비 작업”</strong></p> <p contents-hash="c30795aa702e5f0a997bf9176d9c7f0fc35abfdfe578a8eee44f87fd9ec71d1f" dmcf-pid="Y7QbniFYoW" dmcf-ptype="general">로그 삭제는 이듬해 외부 보안점검을 준비하는 과정에서 이뤄졌습니다. KT 측은 2025년 4월 경쟁사의 개인정보 유출 사고를 계기로 외부 점검을 추진했고, 같은 해 6~8월 일부 서버에서 ‘클렌징’ 작업을 했다고 설명했습니다.</p> <p contents-hash="87a9627575a326e83a72b8007b47fe4d4c20ff9c2bd57bb1a225fe4d226bb35d" dmcf-pid="GzxKLn3GNy" dmcf-ptype="general">KT 측은 클렌징이 로그 삭제뿐 아니라 운영체제 재설치와 악성코드 대응 등을 포함한 시스템 정비 작업이었다고 해명했습니다. 이미 조치가 완료된 과거 사고를 다시 점검할 필요가 없다고 판단했으며, 개인정보위 조사에 앞서 이뤄진 작업이라는 점도 강조했습니다.</p> <p contents-hash="1e6efbbde7d32a74f98bf1c275012ac46cf18a1a60cc6ceb43f7293676de124d" dmcf-pid="HqM9oL0HkT" dmcf-ptype="general">김휘강 개인정보위 위원은 서버의 디스크 용량이 부족했던 것도 아닌데 굳이 로그를 삭제하도록 지시한 이유를 물었습니다. KT 측은 당시 지시자의 정확한 의도는 알지 못한다면서도, 이미 인지하고 조치한 사고를 외부 보안점검에서 다시 조사받고 설명하는 데 부담이 있었던 것으로 이해한다고 답했습니다.</p> <p contents-hash="99c4450b062fadc5c99ebdd0ad898b26f063c93b918a69defbe51ae38c96d0b3" dmcf-pid="X190QPYCav" dmcf-ptype="general">회의에 출석한 현직 CPO는 로그 삭제 문제를 엄중하게 받아들인다며, 모든 서버의 로그를 중앙에서 수집·보관하는 체계를 구축해 재발을 막겠다고 밝혔습니다.</p> <p contents-hash="7711ff56a4807e268be087223bed798eaf3f789281fdf9616d6db7b64fe72497" dmcf-pid="Zt2pxQGhaS" dmcf-ptype="general">장항배 중앙대 산업보안학과 교수는 “개인정보 보호책임자는 사고 이후 유출 여부와 피해 범위를 확인할 수 있도록 증거를 보존하는 역할도 해야 한다”며 “악성코드를 제거했더라도 유출 여부에 대한 검증이 끝났다고 볼 수는 없기 때문에, 시스템 정비를 이유로 로그를 삭제했다면 그 경위와 판단 근거를 따져볼 필요가 있다”고 말했습니다.</p> <p contents-hash="6d97780d60199cc19db6faa906ca7e673b3a465f1152ca4bdca15ba9560416a8" dmcf-pid="5FVUMxHlkl" dmcf-ptype="general"><strong>◇ “자료 없다”던 진술 번복한 KT… 뒤늦게 백업 로그 제출</strong></p> <p contents-hash="b2299fbff7f5b0b51bdc8214f882df344f68e294563f4e062c86943fa609f2c1" dmcf-pid="13fuRMXSgh" dmcf-ptype="general">자료 제출 경위도 쟁점이었습니다. 개인정보위는 KT가 초기 조사에서 악성코드 관련 증거자료를 삭제해 보관하고 있지 않다고 진술했으나, 디지털포렌식으로 로그파일 삭제 정황을 확인하자 진술을 번복하고 별도 보관 자료를 제출했다고 보고했습니다.</p> <p contents-hash="574100fd06140a8c177cf82fce139074a910b1aca468b3dc50ec48b12cb14098" dmcf-pid="t047eRZvjC" dmcf-ptype="general">KT 측은 처음에는 자료가 모두 삭제된 것으로 알았으나, 조사 과정에서 외부 전문업체의 보안점검 보고서를 뒤늦게 확인하면서 백업 로그의 존재를 알게 됐다고 해명했습니다. 이후 해당 자료를 찾아 민관합동조사단과 개인정보위에 알렸다고 설명했습니다.</p> <p contents-hash="7ac1e13b846fd4ee7b1360072db4af549fcf9967d5c442e600595668ccd689d2" dmcf-pid="Fp8zde5TjI" dmcf-ptype="general">이에 대해 개인정보위 조사 담당자는 KT가 외부 보안점검 결과를 공유받은 시점은 조사 도중 한참 시간이 지난 뒤가 아니라, 조사가 시작된 2025년 9월이라고 지적했습니다. 또 클렌징 관련 사실관계가 확인된 것은 올해 1월 30일로, 민관합동조사가 지난해 12월 29일 종료된 뒤였다고 설명했습니다. 이러한 조사 경과를 들어 KT 측이 설명한 자료 확인·제출 시점과 경위를 바로잡을 필요가 있다고 반박했습니다.</p> <p contents-hash="e0197773430ddffe660556c8eeb5832e4c0160f05481d70fde5e3b8b23ac3f7b" dmcf-pid="3U6qJd1ykO" dmcf-ptype="general">개인정보위는 KT가 법 위반사항을 은폐하거나 축소할 목적으로 자료 제출을 거부하거나 거짓 자료를 제출한 것으로 보고, 개인정보보호법 위반에 해당한다고 판단했습니다.</p> <p contents-hash="80d74308045c56195c7f9634be3f856f1c8793999fb49e203689ea3a49aa53db" dmcf-pid="0uPBiJtWNs" dmcf-ptype="general">KT 측은 이번 악성코드 감염 사건에서 고객정보의 외부 유출은 확인되지 않았으며, 백업 로그도 조사 과정에서 모두 제출했다고 주장했습니다. 회의에 참석한 한국인터넷진흥원(KISA) 관계자는 추정임을 전제로, 여러 로그가 삭제되면서 정보주체의 정확한 피해 규모를 파악할 기회를 잃었을 가능성을 제기했습니다.</p> <p contents-hash="1e0d2e5eec979af2929c789c24cfe0129bcdc29f17f5d19b712ecf0466b11304" dmcf-pid="p7QbniFYgm" dmcf-ptype="general">개인정보위는 지난 7월 29일 제15회 전체회의에서 KT의 악성코드 감염 사건 관련 조사 방해 행위에 대해 고발을 의결하고, 해당 사건 조사를 중지하기로 했습니다. 다만 수사 결과 등을 통해 추가 사실관계나 증거가 발견되면 조사를 재개해 처분 여부를 판단하기로 했습니다.</p> <p contents-hash="0e815d6efe75f1037b9a186f553ec38a7befbe76e2cee1386c7969e43aba563d" dmcf-pid="UzxKLn3Gcr" dmcf-ptype="general">KT 관계자는 “관련 조사에 성실히 협조하고, 앞으로 개인정보 보호를 강화하겠다”고 말했습니다.</p> <p contents-hash="dbfdfecb1ee7eb0f9bcd3b6b6c45ca45103dd352d4df3722f7e7e98ea1faa728" dmcf-pid="uqM9oL0How" dmcf-ptype="general">- Copyright ⓒ 조선비즈 & Chosun.com -</p> </section> </div> <p class="" data-translation="true">Copyright © 조선비즈. 무단전재 및 재배포 금지.</p> 관련자료 이전 “정보 유출·비용 폭탄 막아라“… 기업들 자체 ‘AI 서버’ 짓는다 10-14 다음 "카톡에서 AI비서팀 부른다"…카카오, 메신저 판을 바꾼다 10-14 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
