불법 펨토셀(소형기지국)을 통한 대규모 개인정보 유출과 무단 소액결제 피해가 발생한 KT가 개인정보보호위원회로부터 약 540억원의 과징금을 부과받았다.

특히 사고 이후 로그를 삭제하고 조사 과정에서 거짓 진술을 한 사실까지 확인되면서 개인정보위는 KT를 조사 방해 혐의로 고발하기로 했다.

▲ 불법 펨토셀 통해 1만6천여명 정보 유출

개인정보보호위원회는 지난 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7천900만원을 부과하고 시정명령과 개선권고, 공표명령을 의결했다고 30일 밝혔다.

조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 자체 제작한 불법 펨토셀에 탑재한 뒤 KT 이동통신망에 접속했다. 이후 이용자 단말기와 내부망 사이를 오가는 통신 정보를 가로채 개인정보를 확보한 것으로 드러났다.

해커는 확보한 통신정보에 이름과 생년월일 등 추가 개인정보를 결합해 소액결제를 시도했으며, 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 결제를 진행한 것으로 조사됐다.

이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6천647명의 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐으며, 368명이 약 2억4천만원의 무단 소액결제 피해를 입었다.

▲ 11개월간 내부망 침투…보안 관리 총체적 부실

개인정보위는 이번 사고가 단순한 해킹이 아니라 KT의 보안 관리 미흡이 복합적으로 작용한 결과라고 판단했다.

KT는 펨토셀 인증서의 유효기간을 10년으로 설정했고 접속 가능한 인터넷주소(IP)를 제한하지 않아 해외나 타사 네트워크에서도 접속이 가능하도록 운영했다.

또 펨토셀 관리서버를 우회할 수 있는 경로가 존재했고, 코어망 접속 시 사용하는 셀 아이디(Cell ID)에 대한 관리도 제대로 이뤄지지 않아 비인가 장비의 접속을 탐지하거나 차단하는 체계가 사실상 부재했던 것으로 조사됐다.

이 같은 허점으로 해커는 별도의 인증 절차 없이 약 11개월 동안 KT 내부망에 접속했지만, KT는 소액결제 피해 민원이 발생한 이후에야 비정상 접속 사실을 인지한 것으로 확인됐다.

KT 광화문 사옥 [KT 제공]KT 광화문 사옥 [KT 제공]

▲ 악성코드 감염도 은폐…정부 신고 없이 자체 처리

개인정보위는 별도의 악성코드 감염 사고도 확인했다.

KT는 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통해 해커가 침투해 38대의 서버가 BPF도어(BPF Door) 등 악성코드에 감염된 사실을 파악했지만 정부에 신고하지 않고 자체적으로 대응한 것으로 조사됐다.

또 해커는 관리자 페이지를 대상으로 SQL 삽입 공격을 실시해 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보를 조회·유출한 정황도 확인됐다.

다만 사고 당시 네트워크 로그가 보존되지 않아 이용자 개인정보의 추가 유출 여부는 끝내 확인되지 못했다.

▲ 로그 삭제·거짓 진술 확인…개인정보위 고발 결정

이번 제재에서 가장 무거운 책임이 부과된 배경에는 조사 방해 행위가 있었다.

KT는 지난해 4월 악성코드 감염 여부를 점검하는 과정에서 침해 서버 10대의 로그를 삭제한 것으로 확인됐다.

조사 초기에는 관련 자료가 존재하지 않는다고 진술했지만, 개인정보위가 디지털 포렌식을 통해 로그 삭제 정황을 확인하자 진술을 번복하고 별도로 보관하던 로그를 뒤늦게 제출한 것으로 조사됐다.

개인정보위는 이를 명백한 조사 방해 행위로 판단하고 KT를 고발하기로 결정했다.

▲ LG유플러스도 수사 의뢰…증거 훼손 논란

이번 조사에서는 LG유플러스에 대해서도 별도의 조치가 이뤄졌다.

개인정보위는 미국 보안 전문지를 통해 개인정보 유출 정황을 확인한 뒤 조사에 착수했으며, 임직원과 협력사 직원 정보가 실제 통합 비밀번호 관리시스템(APPM)에 저장돼 있던 개인정보였음을 확인했다.

그러나 LG유플러스는 조사 착수 이전 APPM 서버 운영체제를 재설치하거나 서버를 폐기해 정확한 유출 경위와 추가 피해 여부를 확인하기 어렵게 만든 것으로 조사됐다.

개인정보위는 조사 착수 이전에 이뤄진 행위여서 개인정보보호법상 조사 방해 규정은 적용하기 어렵지만 공무집행방해에 해당한다고 판단해 수사기관에 수사를 의뢰하기로 했다.

▲ 개인정보위 "증거 인멸 처벌 강화" 제도 개선 추진

개인정보위는 이번 사건을 계기로 조사 실효성을 높이기 위한 법·제도 개선도 추진하기로 했다.

조사 착수 전에 증거를 은닉하거나 폐기한 경우에도 형사처벌하거나 전체 매출액의 3% 이내에서 과징금을 부과할 수 있도록 관련 법 개정을 추진할 계획이다.

또 신고포상금 제도를 도입하고, 조사에 협조하지 않거나 시정명령을 이행하지 않는 사업자에 대해서는 하루 매출액의 0.3%를 이행강제금으로 부과하는 방안도 마련하기로 했다.

아울러 개인정보 침해사고 발생 시 자료보전명령을 즉시 내릴 수 있도록 개인정보보호법 개정도 함께 추진할 방침이다.