KT가 펨토셀 관리 부실로 개인정보 1만6000명 유출해 과징금 540억원을 부과받았어요. 🔐

개인정보보호위원회(개인정보위)가 KT에 과징금 539억7900만원을 부과했어요. 지난 29일 개인정보위 전체회의에서 의결된 건데요. KT가 펨토셀 관리를 소홀히 해 고객 1만6000명 이상의 개인정보가 유출되고, 실제 금전 피해까지 발생한 사건에 대한 처분이에요.

무슨 일이 있었어?

해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤, 이를 자체 제작한 불법 펨토셀에 심어 KT 이동통신망에 무단으로 접속했어요. 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 송수신 정보를 가로챘고, 추가로 확보한 개인정보와 결합해 휴대폰 소액결제를 요청했다고. 이 과정에서 결제인증코드가 포함된 ARS와 SMS가 탈취됐고, 총 368명을 상대로 약 2억4000만원 상당의 무단 소액결제 피해가 발생했어요.

유출된 정보는 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이에요. 개인정보위가 최종 산정한 피해 규모는 KT 이동통신서비스 이용자 1만6647명이에요.

KT는 뭘 잘못한 거야?

개인정보위 조사 결과, KT의 관리 허점이 여러 곳에서 드러났어요.

• 인증서 유효기간 🔑: 내부망 접속에 쓰이는 펨토셀 인증서 유효기간을 10년으로 설정했어요. IP 제한도 없어 타사나 해외 IP에서도 접속이 가능한 상태로 방치됐다고.
• 탐지 체계 부재 🚨: 비인가 셀 아이디의 이상 접속을 탐지하고 대응할 수 있는 체계 자체가 없었어요. 해커는 약 11개월간(2024년 10월~2025년 9월) 아무런 제지 없이 내부망에 접속할 수 있었다고.
• 뒤늦은 발견 😓: KT는 고객들의 무단 소액결제 피해 민원이 접수되고 나서야 비정상 접속을 식별할 수 있었어요.

개인정보위는 "KT가 안전조치의무를 충실히 준수했다면 충분히 예방할 수 있었던 인재"라고 판단했어요.

이번 처분은 어떻게 됐어?

개인정보위는 과징금 외에도 시정 명령, 개선 권고, 홈페이지 공표 명령을 함께 의결했어요. 과징금은 소액결제 피해가 발생한 5G·LTE 통신 매출액을 기준으로 산정됐고, IPTV나 인터넷통신 등 관련 없는 매출액은 제외됐어요.

또 조사 과정에서 거짓 자료 제출 등으로 조사를 방해한 KT는 고발 조치됐어요. 조사 착수 전 서버를 폐기해 증거를 인멸한 LG유플러스는 수사기관에 수사 의뢰하기로 결정됐다고.

KT는 30일 입장문을 내고 "개보위 처분 결과를 무겁게 받아들이며 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한 번 고개 숙여 깊이 사과드린다"고 밝혔어요.

*이 아티클은 뉴닉 편집 매뉴얼을 학습한 AI가 작성했어요. 뉴닉은 더 좋은 콘텐츠를 발행하기 위한 방식을 고민하며 실험 중이에요. 오류는 고객센터로 제보해 주세요.