해킹 몰랐던 KT, 로그까지 삭제…539억 과징금에 고발

[더파워 류동우 기자] 해커가 자체 제작한 소형기지국을 통해 KT 내부 통신망에 약 11개월간 접속했지만 KT는 소액결제 피해가 발생할 때까지 비정상 접속을 탐지하지 못한 것으로 조사됐다.

개인정보보호위원회는 KT의 안전조치 의무 위반에 과징금 539억7900만원을 부과하고 조사 방해 행위는 고발하기로 의결했다고 30일 밝혔다.

개인정보위 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 자체 제작한 펨토셀에 이를 삽입해 이동통신망에 접속했다. 펨토셀은 가정이나 사무실, 지하 등 통신 음영지역의 품질을 개선하기 위해 설치하는 소형기지국으로, KT가 직접 설치·운영하는 통신설비다.

해커는 이용자 단말기가 불법 펨토셀을 거치도록 유도해 단말기와 KT 내부망 사이에서 오가는 정보를 가로챘다. 이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 유출 정보는 별도로 확보한 이름과 성별, 생년월일 등과 결합돼 휴대전화 소액결제에 악용됐다.

단순한 개인정보 탈취에 그치지 않고 결제 인증에 사용되는 문자메시지와 자동응답전화까지 가로채면서 실제 금전 피해도 발생했다. 개인정보위가 확인한 무단 소액결제 피해자는 368명이며 피해액은 약 2억4000만원에 달했다.

KT 내부망이 장기간 뚫린 배경에는 펨토셀 접근통제 부실이 있었다. KT는 내부망 접속에 사용하는 펨토셀 인증서의 유효기간을 10년으로 설정했고, 접속 인터넷주소를 제한하지 않아 타사망이나 해외에서도 접속할 수 있도록 운영했다. 펨토셀 관리서버를 거치지 않고 내부망에 들어갈 수 있는 우회 경로도 존재했으며, 비인가 셀 아이디의 이상 접속을 탐지하거나 차단하는 체계도 마련하지 않은 것으로 조사됐다.

해커는 이 같은 허점을 이용해 2024년 10월8일부터 2025년 9월5일까지 별도의 추가 인증 없이 KT 내부망에 접속했다. KT는 개인정보 유출과 소액결제 피해가 발생하고 관련 민원이 접수된 뒤에야 비정상 접속을 파악했다. 개인정보위는 이를 정보통신망을 통한 불법 접근과 침해사고를 막기 위한 안전조치 의무 위반으로 판단했다.

개인정보위는 과징금과 함께 KT에 펨토셀을 비롯한 통신설비 전반의 취약점을 점검하고 이동통신망 내 개인정보 접근통제를 강화하도록 명령했다. 개인정보 보호책임자가 회사 전체의 개인정보 처리 업무를 실질적으로 관리할 수 있도록 책임과 권한을 정비하고, 3개월 안에 재발방지 대책을 수립해 보고하도록 했다. 일부 정보기술 서비스에 한정된 개인정보보호 관리체계 인증범위도 이동통신 네트워크 시스템으로 확대하도록 권고했다.

별도로 진행된 악성코드 감염 조사에서는 KT가 2024년 3월 개인정보 처리시스템을 포함한 서버 38대의 감염 사실을 인지하고도 정부에 신고하지 않은 사실이 확인됐다. 개인정보위는 이후 KT가 사고 서버 일부의 로그를 삭제하고, 조사 과정에서 보존 자료가 없다는 취지의 거짓 자료를 제출했다가 디지털 포렌식으로 삭제 정황이 드러나자 진술을 번복한 것으로 판단했다. 개인정보위는 개인정보 유출 분석 소홀과 미신고, 로그 삭제 및 거짓자료 제출 등 조사 방해 행위를 수사기관에 고발하기로 했다.

LG유플러스도 개인정보위의 수사의뢰 대상에 올랐다. 개인정보위는 LG유플러스 임직원과 협력사 직원의 이름·계정이 담긴 자료가 실제 회사 시스템에서 관리하던 정보임을 확인했지만, LG유플러스가 조사 착수 전 관련 서버의 운영체제를 다시 설치하거나 서버를 폐기해 정확한 유출 경위를 확인할 수 없었다고 밝혔다.

개인정보위는 조사 착수 전에 증거를 은닉하거나 폐기하는 행위에도 형사처벌과 과징금을 부과할 수 있도록 연내 제도 개선을 추진한다. 증거 은닉·폐기 시 전체 매출액의 3%까지 과징금을 부과하고, 조사 비협조나 시정명령 불이행에는 하루 매출액의 0.3%에 해당하는 이행강제금을 부과하는 방안도 검토한다. 침해사고 발생 시 자료보전명령을 내릴 수 있도록 개인정보보호법 개정도 추진할 계획이다.

류동우 더파워 기자 rdw2026@thepowernews.co.kr