KT 개인정보 유출사고 과징금 540억 부과

개인정보보호위원회는 지난 29일 전체회의를 열고, 개인정보보호법을 위반한 KT에 대해 과징금 539억7900만 원을 부과하고, 조사과정에서 거짓자료 제출 등으로 조사를 방해한 행위에 대해 고발을 의결했다고 밝혔다. 

개인정보위에 따르면, 지난해 해커가 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 펨토셀에 심은 뒤 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 단말과 내부망 간 송·수신 정보를 가로챘다. 또 이를 추가적으로 확보한 개인정보(이름, 성별, 생년월일)와 결합해 휴대폰 소액결제를 요청한 뒤 결제인증코드가 포함된 ARS·SMS를 탈취해 무단 소액결제에 성공했다. 

이 과정에서 KT 이용자 1만6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 개인정보가 유출됐으며, 368명을 대상으로 2억4000만 원 상당의 무단 소액결제 피해가 발생한 것으로 확인됐다.

개인정보위는 이번 사고가 KT가 펨토셀을 관리·운영하면서 KT 내부망에 대한 접근통제 관리를 소홀히 해 발생한 것으로 확인됐다고 설명했다. 사고 당시 KT의 펨토셀 관리체계가 부실해 인가받지 않은 펨토셀이 KT 내부망에 쉽게 접속할 수 있는 상태였다. 

개인정보위는 KT가 대규모 개인정보를 처리하는 이동통신사업자로서 안전조치의무를 소홀히 해 개인정보가 유출된 행위에 대해 과징금 539억7900만 원을 부과하고, KT가 운영 중인 홈페이지에 위와 같이 처분받은 사실을 공표하도록 명령했다.

또 재발 방지를 위해 펨토셀 등 무선통신망 장비에 대한 취약점 점검과 통신망 내 개인정보에 대한 불법적 접근통제 등 안전조치를 강화하고, 회사 전반의 개인정보 처리 업무에 대해 개인정보보호책임자(CPO)의 책임과 역할을 명확히 하는 등 거버넌스 체계를 정비할 것을 시정명령했다.

한편, 개인정보위는 과징금 결정과 관련해 KT 이동통신서비스의 5G·LTE 통신 매출을 기준으로 산정했으며, IPTV·인터넷통신 등 관련 없는 독립적인 매출은 관련 매출에서 제외했다고 설명했다. 또 기간통신사업자로서 관리 소홀로 불법적인 접근을 제한하지 못하고 개인정보 침해 수준이 상당히 높다는 점에서 중대한 위반행위로 판단했으며, 위반기간 및 위반행위의 시정 여부, 피해 회복 노력 등 다양한 요소를 고려해 과징금액을 산정했다고 덧붙였다. 

강동식 기자 lavita@datanews.co.kr