개인정보보호위원회, 29일 전체회의 열고 KT에 과징금 539억 원 부과
유실 펨토셀 인증서 복제 통한 내부망 침투, 11개월간 이상 접속 방치
무단 소액결제 2억 4000만 원 피해, 악성코드 감염 미신고·로그 삭제로 KT 고발
"펨토셀 관리 부실"… 개인정보위, KT에 539억 원 과징금 부과
개인정보보호위원회가 초소형 기지국 '펨토셀'의 내부망 접속 관리를 소홀히 한 KT에 539억 원의 과징금을 부과했습니다. 이번 사건으로 이용자 1만 6647명의 개인정보가 유출됐고 2억 4000만 원 상당의 무단 소액결제 피해가 발생했습니다.
뉴스1 보도에 따르면, 개인정보위는 지난 29일 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 KT에 이 같이 처분하기로 의결했다고 30일 밝혔습니다. 아울러 악성코드 감염 사고를 신고하지 않은 채 로그를 삭제하고 조사를 방해한 행위는 고발하기로 했습니다.
펨토셀, 내부망 관문… 인증서 복제되면 문자·전화 인증 탈취 가능
펨토셀은 가정이나 사무실, 지하 등 이동통신 신호가 약한 곳에 설치하는 소형 기지국입니다. 이 펨토셀은 이용자의 휴대전화와 통신사 핵심망을 잇는 관문이어서 보안이 뚫리면 개인정보뿐 아니라 문자·전화 인증까지 탈취될 수 있습니다.
공격 수법, 유실 장비 인증서 복제 후 내부망 접속
조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 장비에 복제한 뒤 KT 이동통신망에 접속했습니다. 이용자 단말기가 해커의 펨토셀을 거치도록 유도해 단말기와 내부망 사이에서 오가는 정보를 가로챘습니다.
해커는 이를 별도로 확보한 이름과 성별, 생년월일 등의 정보와 결합해 소액결제를 요청하고, 인증번호가 담긴 문자메시지(SMS)와 자동응답전화(ARS)를 탈취했습니다.
유출 규모, 1만 6647명 개인정보·368명 소액결제 피해
이 과정에서 KT와 KT망 알뜰폰 이용자 1만 6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐습니다. 368명에게서는 약 2억 4000만 원의 무단 소액결제 피해가 발생했습니다.
1만 6647명은 당초 신고된 유출 정보 2만 2227건 가운데 법인 명의와 다중 회선 등 중복을 제외한 실제 정보주체 수입니다.
인증서 유효기간 10년·IP 제한 없음… 관리체계 총체적 부실
개인정보위는 KT의 펨토셀 관리체계가 전반적으로 부실했다고 판단했습니다.
KT는 내부망 접속에 쓰는 펨토셀 인증서의 유효기간을 10년으로 설정했습니다. 접속 인터넷주소(IP)도 제한하지 않아 다른 통신사나 해외 IP에서도 접속할 수 있도록 운영했습니다.
또 펨토셀 관리서버를 거치지 않고 코어망에 접속할 수 있는 우회 경로도 존재했습니다. 장비 식별값인 '셀 아이디'(Cell ID) 관리가 부실했고 비인가 장비의 접속을 탐지하는 체계도 갖추지 않았습니다.
해커 11개월간 내부망 접속… 민원 발생 뒤에야 파악
해커는 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 KT 내부망에 접속했습니다.
KT는 소액결제 피해와 관련 민원이 발생한 뒤에야 비정상 접속을 파악했습니다. KT 측은 자체 제작 펨토셀을 이용한 전례 없는 유형의 공격이어서 예측이 어려웠다고 주장했습니다.
반면 개인정보위는 해외와 학계에서 펨토셀 보안 취약성이 지속해서 제기된 만큼 기본적인 안전조치를 했다면 예방할 수 있었다고 봤습니다.
과징금 산정 기준, 5G·LTE 매출… IPTV·유선 인터넷 제외
과징금은 사고와 관련된 KT의 5세대 이동통신(5G)·롱텀에볼루션(LTE) 매출을 기준으로 산정됐습니다. 인터넷TV(IPTV)와 유선 인터넷 등 관련 없는 매출은 제외됐습니다.
개인정보위는 KT에 펨토셀 등 통신설비의 취약점을 점검하고 개인정보 불법 접근을 막을 대책을 3개월 안에 마련해 보고하라고 명령했습니다.
또 개인정보 보호책임자(CPO)의 책임과 역할을 강화하고 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크와 시스템까지 확대하도록 권고했습니다.
별건 사고, 서버 38대 악성코드 감염하고도 미신고
개인정보위는 펨토셀 사고 조사 과정에서 KT의 또 다른 위반 사실도 확인했습니다.
KT는 2024년 3월 서버 38대의 악성코드 감염 사실을 인지하고도 정부에 신고하지 않은 것으로 드러났습니다.
해커는 KT 로밍렌탈서비스 홈페이지의 취약점을 이용해 내부 네트워크에 침투한 뒤 'BPFDoor' 등 악성코드를 퍼뜨렸습니다. 일부 KT 임직원과 협력사 직원의 이름과 전화번호, 계정이 조회·유출된 정황도 확인됐습니다.
다만 사고 당시 네트워크 로그 등이 남아 있지 않아 감염 서버에서 처리하던 이용자 개인정보가 추가로 유출됐는지는 확인하지 못했습니다.
로그 삭제·거짓 자료 제출… "조사 방해"로 고발
KT는 2025년 4월 악성코드 감염 여부를 전수 점검하면서 침해 서버 10대의 로그를 삭제한 정황도 드러났습니다.
특히 KT는 개인정보위 조사 초기에는 보존 자료가 없다고 진술했습니다. 그러나 디지털 포렌식에서 로그 삭제 정황이 발견되자 별도로 보관하던 로그를 뒤늦게 제출했습니다.
개인정보위는 KT가 개인정보 유출 분석을 소홀히 하고 사고를 신고하지 않은 데다 거짓 자료 제출과 진술 번복 등으로 조사를 방해했다고 보고 수사기관에 고발하기로 했습니다.
이번 처분은 통신사 대상 개인정보보호법 위반 과징금 규모로는 이례적 수준입니다. 특히 과징금 산정 기준을 '사고와 관련된 매출'로 한정해 5G·LTE 매출만 반영하고 IPTV·유선 인터넷을 제외한 점은 향후 통신사 대상 과징금 산정 실무의 준거로 작용할 전망입니다. 매출 연동 과징금 체계 하에서 사업부문별 매출과 사고 관련성을 어떻게 획정할 것인지가 사업자 방어 전략의 핵심 쟁점이 될 것으로 보입니다.
무엇보다 조사 방해 행위에 대한 별도 형사 고발 결정은 기업 대응 실무에 강력한 경고 신호입니다. 로그 삭제, 자료 은닉, 진술 번복은 과징금 감경은커녕 형사 리스크로 직결된다는 점이 확인됐습니다. 개인정보 유출 사고 발생 시 신고 의무 이행, 증거 보존, 성실한 조사 협조가 사후 대응의 최소 원칙이 돼야 합니다. 통신·플랫폼·금융 등 대규모 개인정보 처리 기업은 침해사고 대응 매뉴얼에 로그 보존·신고 시한·조사 응대 프로토콜을 명문화하고, 이를 CPO·CISO·법무·홍보 조직 공동 책임체계로 재정비할 필요가 있습니다.
또 ISMS-P 인증 범위를 이동통신 네트워크와 시스템까지 확대하라는 권고는, 그동안 IT 시스템 중심으로 운영돼 온 정보보호 인증 체계가 통신 인프라 전반으로 확장되는 신호로 읽힙니다. 통신사뿐 아니라 대규모 네트워크 인프라를 운영하는 사업자는 인증 범위 재설정과 이에 따른 통제항목 확대에 대비할 필요가 있습니다.