투데이e코노믹 = 우혜정 기자 | 불법 소형 기지국(펨토셀)을 이용한 개인정보 유출 사고를 일으킨 KT가 500억원대 과징금과 함께 조사 방해 혐의로 고발되는 중징계를 받았다. 개인정보보호위원회는 대규모 개인정보 유출뿐 아니라 보안 관리 소홀과 조사 과정에서의 증거 훼손 및 거짓 자료 제출까지 확인됐다며 강도 높은 제재를 결정했다.

개인정보보호위원회는 KT에 개인정보보호법 위반 혐의로 과징금 539억7900만원을 부과하고 시정명령, 개선권고, 공표명령을 의결했다고 최근 밝혔다. 이번 과징금은 개인정보위가 기업에 부과한 제재 가운데 역대 네 번째로 큰 규모다. 개인정보위는 조사 과정에서 로그 기록 삭제와 거짓 자료 제출 등 조사 방해 행위가 있었다고 판단해 KT를 수사기관에 고발하기로 했다.

조사 결과 해커는 유출된 KT 펨토셀 인증서를 이용해 불법 기지국을 구축한 뒤 이동통신망에 접속, 이용자의 통신 정보를 가로챘다. 이후 탈취한 개인정보를 결합해 결제 인증 문자메시지를 가로채는 방식으로 무단 소액결제를 시도했다. 이 과정에서 KT와 알뜰폰 이용자 등 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출됐으며, 368명이 약 2억4000만원의 금전 피해를 입은 것으로 조사됐다.

개인정보위는 사고의 배경으로 KT의 허술한 보안 관리 체계를 지목했다. 펨토셀 인증서 유효기간을 장기간 설정하고 접속 가능한 인터넷주소(IP)를 제한하지 않아 외부에서도 내부망 접근이 가능했던 것으로 나타났다. 관리 서버로 연결되는 우회 접속 경로도 존재했고, 이상 접속을 탐지하거나 차단하는 보안 체계도 미흡했다. 이 때문에 해커는 약 11개월 동안 내부망에 침투했지만 KT는 이용자들의 소액결제 피해 신고가 접수된 이후에야 비정상 접속 사실을 확인한 것으로 조사됐다.

"KT, 서버 접속기록 삭제 등 증거 확보 방해"

조사 과정에서는 별도의 보안 사고도 드러났다. 개인정보위는 KT 서버 38대가 악성코드에 감염돼 임직원과 협력사 직원의 개인정보가 유출된 사실을 확인했지만, KT가 이를 법정 기한 내 신고하지 않았다고 밝혔다. 또한 서버 접속기록 일부를 삭제하고 관련 자료가 없다고 진술하거나 자료 제출을 지연하는 등 조사에 필요한 증거 확보를 어렵게 한 정황도 확인됐다고 설명했다.

개인정보위는 이번 사건을 계기로 조사 방해 행위에 대한 제도 개선도 추진한다. 조사 착수 전에 증거를 은닉하거나 폐기하는 행위를 형사처벌 대상으로 명확히 하고, 증거 인멸이 확인될 경우 전체 매출액의 일정 비율을 과징금으로 부과할 수 있도록 관련 제도 정비를 추진할 계획이다.

한편 개인정보위는 별도로 조사 중인 LG유플러스 개인정보 유출 사건과 관련해서도 조사 착수 전 서버 운영체제를 재설치하거나 일부 서버를 폐기해 사실 확인을 어렵게 한 정황이 있다고 보고 공무집행방해 혐의로 경찰에 고발하기로 했다.