KT 펨토셀 해킹 과징금 540억, LG유플러스는 증거 서버 폐기 의혹부터 수사 의뢰까지? 😵📲

개인정보보호위원회(개보위)가 30일 불법 소형기지국(펨토셀)을 통해 이용자 개인정보를 유출한 KT에 과징금 539억 7900만 원을 부과했어요. 2024년 10월부터 지난해 9월까지 약 11개월간 해커가 KT 내부망에 무단 접속해 1만 6000여 명의 개인정보를 빼내고 무단 소액결제 피해까지 일으킨 사건에 대한 과징금이에요. 같은 날 개보위는 개인정보 유출 조사 전 관련 서버를 폐기한 의혹을 받는 LG유플러스(LGU+)를 수사 의뢰하기로 했어요.

무슨 일이었더라? 🔍

펨토셀은 통신이 잘 안 잡히는 곳에서 쓰는 소형 기지국이에요. 개보위 조사 결과 해커는 KT가 잃어버린 펨토셀에서 인증서를 빼내 불법 펨토셀을 직접 만든 뒤, 이걸 KT 통신망에 몰래 연결해 이용자들의 통신 정보를 가로챘어요. 여기에 이름·생년월일 등 추가 정보를 결합해 소액결제 인증 문자와 ARS까지 탈취, 무단 결제를 했고요.

이 과정에서 알뜰폰 가입자를 포함한 이용자 1만 6647명의 개인정보가 유출됐고, 368명은 약 2억 4000만 원의 무단 소액결제 피해를 봤어요. 해커가 약 11개월간 내부망에 접속하는 동안 KT는 소액결제 피해 민원이 들어온 뒤에야 이상 접속 사실을 파악했어요.

개보위의 결정은? 💸

개보위는 KT의 위반 행위를 '중대한 위반'으로 판단했어요. 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP를 제한하지 않는 등 내부망 접근통제를 소홀히 해 사고를 냈다는 거예요. 개보위는 고객 일부가 2차 금전 피해를 심각하게 봤지만, SKT 사고와 비교해 유출 규모가 상대적으로 작고 유출 정보가 3종에 불과했던 점, 피해 보상과 시정조치에 협조한 점 등을 감안해 최종 과징금을 결정했다고 설명했어요.

한편, KT는 조사 과정에서 감염 서버 로그를 삭제하고 보존 자료가 없다고 거짓 진술했다가 뒤늦게 별도 보관 로그를 제출하기도 했는데요. 개보위는 이를 조사 방해로 보고 과징금 제재와 별도로 개인정보 보호법 등에 따라 KT를 수사기관에 고발하기로 했어요. KT는 "보안체계를 원점에서 전면 재정비하겠다"고 밝혔어요.

LG유플러스도 문제라고? 🚨

한편, 정부는 마찬가지로 LGU+(LG유플러스) 임직원·협력사 직원의 이름과 계정 등 개인정보 유출 의혹을 받고 있던 LGU+에 대한 조사를 중단하고 수사를 의뢰하기로 했어요. 개인정보 유출 조사를 앞두고 LGU+가 관련 증거를 없앴다는 의혹이 나온 탓인데요. LGU+가 개보위 조사 착수 전 관련 서버의 운영체제(OS)를 재설치하거나 서버를 아예 폐기했다는 것. 이 때문에 개보위는 정확한 유출 경위와 추가 유출 여부를 확인하지 못했고, 공무집행방해에 해당한다고 판단해 수사기관에 수사를 의뢰했어요.