개인정보위, KT 펨토셀 해킹 사고에 과징금 ‘539억원’ 부과

개인정보보호위원회(이하 개인정보위)가 불법 펨토셀을 통해 KT 1만6647명의 개인정보가 유출되고 368명에게 약 2억4000만원의 무단 소액결제 피해가 발생한 사고와 관련해 KT에 과징금 539억7900만원을 부과했다. 개인정보위는 30일 서울 종로구 서울정부청사에서 브리핑을 열고 29일 진행한 전체회의 결과를 발표했다.

개인정보위는 KT의 펨토셀 사고와 관련해 실제 금전 피해가 발생한 점을 과징금 산정 과정에서 중요하게 반영했다. 다만 SK텔레콤 사고와 비교해 유출 규모가 작고 가입자 인증에 직접 쓰이는 정보가 포함되지 않은 점도 함께 고려했다고 밝혔다.

자체 제작 펨토셀로 11개월간 KT망 접속

개인정보위에 따르면 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 삽입했다. 이후 이 장비를 통해 KT 이동통신망에 접속했다. 펨토셀은 지하나 건물 내부처럼 통신 신호가 약한 곳의 품질을 개선하는 소형기지국이다. KT가 소유하고 설치하며 이동통신망 접속 승인과 인증체계 관리도 KT가 맡는다.

해커는 이용자 단말이 불법 펨토셀을 거치도록 유도한 뒤 단말과 내부망 사이에서 오간 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)를 가로챘다. 별도로 확보한 이름과 성별, 생년월일을 결합해 휴대전화 소액결제를 요청했다. 결제 과정에서 문자메시지(SMS)와 자동응답전화(ARS)로 전송된 인증코드도 탈취했다.

불법 펨토셀은 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 KT 내부망에 접속했다. KT는 무단 소액결제 관련 민원이 발생한 뒤에야 이상 접속을 파악했다.

개인정보위 조사 결과, KT는 펨토셀 인증서의 유효기간을 10년으로 설정했다. 접속 인터넷주소(IP)도 자사망이나 국내 주소로 제한하지 않았다. 펨토셀 관리서버를 거치지 않고 내부망에 접속할 수 있는 우회 경로도 있었다. KT는 코어망에 접속한 기지국을 구분하는 셀 아이디(Cell ID)를 관리하지 않아 비인가 장비를 탐지하지 못했다.

KT가 신고한 유출 규모는 2만2227명이었다. 개인정보위는 법인 회선과 동일인이 여러 회선을 사용하는 사례를 제외해 실제 정보주체를 1만6647명으로 산정했다.

과징금 LTE·5G 등 주요 매출 기준…SKT와 중대성 등급 달라

개인정보위는 KT의 LTE와 5G 이동통신 매출을 과징금 산정 기준으로 삼았다. 펨토셀은 LTE 기반 장비지만 일부 5G 서비스도 LTE망을 함께 사용한다는 이유다. 인터넷과 인터넷멀티미디어방송(IPTV) 등 이번 사고와 직접 관련이 없는 사업 매출은 제외했다.

개인정보위는 실제 소액결제 피해가 발생한 점을 중대하게 봤다. 위반 기간과 피해 규모, 피해보상, 시정조치 이행 여부도 최종 금액에 반영했다.

SK텔레콤 사고보다 과징금이 낮아진 데에는 유출 규모와 정보 유형의 차이가 영향을 미쳤다. SK텔레콤 사고에서는 2000만명이 넘는 이용자의 정보와 가입자 인증에 쓰이는 정보가 유출됐다. KT 사고에서 확인된 정보는 휴대전화번호와 가입자식별번호, 단말기식별번호 3종이다.

개인정보위는 심의 과정에서 실제 금전 피해와 인증정보 유출 가운데 통신서비스 이용자에게 어느 쪽이 더 치명적인지를 놓고 논의했다. 개인정보위의 위반행위 중대성은 ‘매우 중대한 위반’, ‘중대한 위반’, ‘보통 위반’, ‘약간 위반’으로 나뉜다. SK텔레콤 사고는 ‘매우 중대한 위반’, KT 사고는 ‘중대한 위반’으로 판단됐다.

개인정보위는 KT에 펨토셀을 포함한 통신설비 전반의 취약점을 점검하고 내부망 접근통제를 강화하라고 명령했다. 개인정보보호책임자(CPO)의 권한과 역할을 정비하는 대책도 3개월 안에 마련해야 한다. 정보기술(IT) 서비스 일부에 적용한 정보보호·개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크까지 확대하라는 개선권고도 내렸다.

악성코드 사건은 별도…KT고발

이번 과징금은 펨토셀 유출 사건에만 부과됐다. 2024년 3월 발생한 KT 서버 악성코드 감염 사건에 대한 조사는 끝나지 않았다.

개인정보위는 펨토셀 사건을 조사하던 중 KT 정보기술 서비스 네트워크에 있는 서버 38대가 BPFDoor 등 악성코드에 감염된 사실을 확인했다. 해커는 KT 로밍렌털서비스 홈페이지의 취약점을 통해 내부망에 침투했다. 관리자 페이지에는 데이터베이스 명령어를 삽입하는 에스큐엘 삽입(SQL Injection) 공격을 시도했다.

개인정보위는 이 과정에서 KT 임직원과 협력사 직원 일부의 이름, 전화번호, 계정이 조회되고 유출된 사실을 일부 확인했다. 다만 사고 당시 네트워크 로그가 충분히 남아 있지 않아 감염 서버에서 처리한 다른 개인정보까지 유출됐는지는 확인하지 못했다.

KT는 2024년 3월 악성코드 감염 사실을 인지하고도 정부에 신고하지 않았다. 2025년 4월 서버를 전수 점검하는 과정에서는 침해가 발생한 서버 10대의 로그를 삭제한 정황도 확인됐다. 개인정보위 조사 초기에는 보존 자료가 없다고 진술했다가 디지털 포렌식에서 로그 삭제 정황이 드러나자 별도로 보관한 자료를 제출했다.

개인정보위는 이번 전체회의에서 거짓 자료 제출과 진술 번복 등 조사 방해 행위에 대한 고발만 의결했다. 경찰 수사나 후속 조사에서 새로운 사실이 확인되면 악성코드 사건에 별도 처분을 내릴 방침이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network