不正なフェムトセル(小型基地局)を通じた大規模な個人情報流出と無断少額決済被害が発生したKTが、個人情報保護委員会から約540億ウォンの課徴金を受けた。

特に事故後ログを削除し、調査過程で虚偽陳述をした事実まで確認されたことで、個人情報委員会はKTを調査妨害容疑で告発することにした。

▲不正フェムトセルを通じ1万6千人余りの情報流出

個人情報保護委員会は29日全体会議を開き、個人情報保護法に違反したKTに課徴金539億7千900万ウォンを部課し、是正命令と改善勧告、公表命令を議決したと30日明かした。

調査結果、ハッカーは紛失されたKTフェムトセルから抽出された認証書を自ら製造した不正フェムトセルに搭載した後、KT移動通信網にアクセスした。その後、利用者端末と内部網の間を行き来する通信情報を傍受して個人情報を確保したことが明らかになった。

ハッカーは確保した通信情報に名前と生年月日など追加の個人情報を結合して少額決済を試みており、決済認証ショートメッセージサービス(SMS)と自動応答システム(ARS)を奪取する方式で無断決済を進めたことが調査で分かった。

この過程で格安スマホ加入者を含む利用者1万6千647名の携帯電話番号と国際携帯加入者識別番号(IMSI)、端末識別番号(IMEI)が流出され、368名が約2億4千万ウォンの無断少額決済被害を被った。

▲11ヶ月間内部網侵透…セキュリティ管理が総体的に不十分

個人情報委員会は今回の事故が単純なハッキングではなくKTのセキュリティ管理不備が複合的に作用した結果だと判断した。

KTはフェムトセル認証書の有効期間を10年に設定し、接続可能なインターネットアドレス(IP)を制限しておらず、海外や他社ネットワークからもアクセスが可能なように運営していた。

またフェムトセル管理サーバーを迂回することが可能な経路が存在していたし、コア網アクセス時に使用するセルアイディ(Cell ID)に対する管理も適切に行われておらず、非認可機器のアクセスを検知または遮断するシステムが事実上存在していなかったことが調査で明らかになった。

このような脆弱性により、ハッカーは別途の認証手続きなしに約11ヶ月間KT内部網にアクセスしたが、KTは少額決済被害民願が発生した後になってから異常アクセス事実を認知したことが確認された。

KT光化門社屋 [KT提供]KT光化門社屋 [KT提供]

▲悪性コード感染も隠蔽…政府報告なしに自体処理

個人情報委員会は別途の悪性コード感染事故も確認した。

KTは2024年3月ローミングレンタルサービスホームページの脆弱性を通じてハッカーが侵入し38台のサーバーがBPFドア(BPF Door)など悪性コードに感染した事実を把握したが、政府に報告せず自体的に対応したことが調査で明らかになった。

またハッカーは管理者ページを対象にSQL挿入攻撃を実施してKT職員と協力社職員一部の名前と電話番号、アカウント情報を照会・流出した疑いも確認された。

ただし事故当時ネットワークログが保存されなかったため、利用者個人情報の追加流出の有無は結局確認されなかった。

▲ログ削除・虚偽陳述確認…個人情報委員会告発決定

今回の処罰で最も重い責任が部課された背景には調査妨害行為があった。

KTは去年4月悪性コード感染の有無を点検する過程で侵害サーバー10台のログを削除したことが確認された。

調査初期には関連資料が存在しないと陳述したが、個人情報委員会がデジタルフォレンジックを通じてログ削除疑惑を確認するとすぐに陳述を翻してさらに別途保管していたログを後から提出したことが調査で明らかになった。

個人情報委員会はこれを明白な調査妨害行為だと判断しKTを告発することに決定した。

▲LGユープラスも捜査依頼…証拠隠滅論争

今回の調査ではLGユープラスに対しても別途の措置が講じられた。

個人情報委員会は米国セキュリティ専門紙を通じて個人情報流出疑惑を確認した後、調査に着手し、職員と協力社職員情報が実際に統合秘密パスワード管理システム(APPM)に保存されていた個人情報であることを確認した。

しかしLGユープラスは調査着手以前にAPPMサーバーオペレーティングシステムを再インストールまたはサーバーを廃棄して正確な流出経緯と追加被害の有無を確認することを困難にしたことが調査で明らかになった。

個人情報委員会は調査着手以前に行われた行為であるため個人情報保護法上調査妨害規定は適用することが難しいが公務執行妨害に該当すると判断して捜査機関に捜査を依頼することにした。

▲個人情報委員会「証拠隠滅処罰強化」制度改善推進

個人情報委員会は今回の事件をきっかけに調査実効性を高めるための法・制度改善も推進することにした。

調査着手前に証拠を隠蔽または廃棄した場合でも刑事処罰したり全体売上高の3%以内で課徴金を部課することができるよう関連法の改正を推進する計画だ。

また告発報償金制度を導入し、調査に協力しないまたは是正命令を履行しない事業者に対しては1日売上高の0.3%を履行強制金として部課する方案も用意することにした。

さらに個人情報侵害事故発生時に資料保全命令を即座に内すことができるよう個人情報保護法改正も共に推進する方針だ。