[HBN뉴스 = 박정수 기자] 개인정보보호위원회가 KT의 불법 소형기지국인 펨토셀을 통해 이용자 1만6000여 개인정보 유출과 무단 소액결제 피해 발생에 대해 약 540억원의 과징금을 부과하고 로그 삭제와 거짓진술 등 조사 방해 행위에 대해 법인을 고발하기로 했다.

 

개인정보위는 지난 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원 부과, 시정명령과 개선권고, 공표명령 등을 의결했다고 30일 밝혔다.

 

  지난 29일 서울 종로구 정부서울청사에서 열린 개인정보보호위원회 전체회의에서 송경희 위원장이 발언하고 있다. [사진=연합뉴스]

 

개인정보위에 따르면 해커는 유실된 KT 펨토셀에서 추출한 인증서를 자체 제작한 불법 펨토셀에 심어 KT 이동통신망에 접속한 뒤, 이용자 단말과 내부망 사이를 오가는 통신 정보를 가로챘다.

 

이렇게 확보한 정보에 이름, 생년월일 등 추가로 확보한 개인정보를 결합해 소액결제를 시도하고 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 결제한 것으로 조사됐다. 이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호, 국제모바일가입자식별번호(IMSI), 단말기 식별번호(IMEI)가 유출됐고, 총 368명이 약 2억4000만원의 무단 소액결제 피해를 봤다.

 

KT는 펨토셀 인증서의 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않아 타사나 해외 IP를 통한 접속도 가능하도록 운영했다. 펨토셀 관리서버를 우회하는 경로가 존재했고, 펨토셀이 코어망에 접속할 때 부여되는 식별자인 셀 아이디를 제대로 관리하지 않아 비인가 셀 아이디의 이상 접속을 탐지하거나 대응하는 체계도 갖추지 않았다.

 

이에 해커는 별도의 인증 절차 없이 2024년 10월 8일부터 지난해 9월 5일까지 약 11개월간 KT 내부망에 접속했지만, KT는 소액결제 피해 민원이 발생한 뒤에야 비정상 접속 사실을 파악했다.

 

개인정보위는 KT에 무선통신망 장비의 보안 강화와 개인정보 보호 거버넌스 정비를 명령하고 개인정보보호 관리체계 인증(ISMS-P) 범위를 이동통신 네트워크 시스템까지 확대하도록 개선 권고했다.

 

 

또한 KT는 지난해 4월 악성코드 감염 여부를 전수 점검하는 과정에서 침해 서버 10대의 로그를 삭제하기도 했다. 개인정보위는 조사 초기 보존 자료가 없다고 진술했다가 디지털 포렌식으로 로그 삭제 정황이 확인되자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출한 것을 두고 조사 방해로 판단 고발을 결정했다.

 

한편 개인정보위는 LG유플러스에 대해서는 공무집행방해 행위로 판단해 수사기관에 수사를 의뢰하기로 했다. 개인정보위는 지난해 8월 미국 보안 전문지 프랙을 통해 LG유플러스 개인정보 유출 사실을 인지하고 조사에 착수했다. 해당 정보는 LG유플러스의 통합 비밀번호 관리시스템(APPM)에서 실제 보유·관리하던 정보로 확인됐다.

 

이에 대해 LG유플러스는 개인정보위 조사 착수 전 APPM 서버 등의 운영체제(OS)를 재설치하거나 서버를 폐기해 정확한 유출 경위와 추가 유출 여부를 확인하기 어렵게 한 것으로 드러났다. 개인정보위는 이러한 증거 은닉·폐기가 조사 착수 전 이뤄져 공무집행방해에 해당한다고 판단해 수사 의뢰했다.

[ⓒ HBN뉴스. 무단전재-재배포 금지]