개인정보보호위원회가 펨토셀 관리 부실로 고객 개인정보 유출과 무단 소액결제 피해를 일으킨 KT에 과징금 약 540억원을 부과했다.
개인정보위는 지난 29일 제15차 전체 회의를 열고, 개인정보 보호법을 위반한 KT에 대해 과징금 539억7900만원을 부과하고, 시정 명령, 개선 권고, 공표, 공표 명령을 결정했다고 30일 밝혔다.
또한 악성 코드 감염 사고 조사 과정에서 거짓 자료 제출 등으로 조사를 방해한 행위에 대해 고발 조치하기로 하고, 조사 착수 전 서버를 폐기해 증거를 인멸한 LG유플러스에 대해서는 수사 의뢰하기로 의결했다.
개인정보위에 따르면 해커는 분실된 KT 펨토셀에서 인증서를 빼낸 뒤 이를 자체 제작한 펨토셀에 심는 방식으로 유출을 시도했다. 펨토셀은 무선통신 품질 개선을 위해 가정이나 사무실, 지하 등 무선통신 신호가 약한 곳에 설치되는 소형 기지국이다. 해커는 자체 펨토셀을 활용해 2024년 10월부터 지난해 9월까지 약 1년간 KT 이동통신망에 접속했다.
이 과정에서 해커는 이용자의 단말기가 불법 펨토셀을 거치도록 유도해 단말기와 내부망 사이에서 오가는 정보를 가로챘다. 이를 별도로 확보한 이용자의 이름과 성별, 생년월일 등 개인정보와 결합해 휴대전화 소액결제를 시도한 것으로 조사됐다.
그 결과 알뜰폰을 포함해 KT 이용자 총 1만6647명의 개인정보가 유출됐으며, 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제 피해가 발생했다. 앞서 과기정통부 민관합동조사단은 발표한 유출 규모를 2만2227건으로 집계했으나, 개인정보위는 법인 및 다중회선 등 중복을 제외해 산정했다고 설명했다.
◇개인정보위 "KT 내부망 접근 통제 소홀…타사·해외 IP도 접속 가능"
개인정보위는 이번 사고가 KT가 펨토셀을 관리·운영하면서 내부망에 대한 기본적인 접근 통제를 소홀히 해 발생했다고 판단했다.
KT 내부망의 홈가입자서버(HSS) 등 개인정보 처리 시스템은 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등을 이용해 가입자와 단말기를 인증한다. 통신 음영지역에서는 단말기가 펨토셀을 거쳐 내부망에 접속하는 만큼, 인가된 펨토셀만 내부망에 접근할 수 있도록 통제돼야 한다는 것이 개인정보위 측 설명이다.
그러나 사고 당시 KT는 내부망에 접속하는 펨토셀의 인터넷주소(IP)를 제한하지 않아 다른 통신사나 해외 IP를 통해서도 KT 내부망에 접속할 수 있었다. 또한 펨토셀 관리서버를 우회하는 경로도 존재했던 것으로 확인됐다.
개인정보위는 무단 소액결제가 발생한 KT 이동통신서비스의 5G·LTE 매출을 기준으로 과징금을 산정하되, 위반행위의 중대성과 위반 기간, 시정 여부, 피해 회복 노력 등을 종합적으로 고려해 최종 금액을 결정했다고 밝혔다.
◇KT, 악성코드 감염 알고도 미신고…"로그 삭제·거짓 진술"
개인정보위는 KT가 악성 코드 감염 사고와 관련한 개인정보위의 조사를 방해했다고 보고 수사기관에 고발하기로 했다. 개인정보위는 펨토셀 사건을 조사하는 과정에서 2024년 3월 KT의 IT 서비스 네트워크 서버 38대가 해킹돼 'BPFDoor' 등 다수의 악성 코드에 감염된 사실을 확인했다.
해커는 KT 로밍렌털서비스 홈페이지의 보안 취약점을 이용해 내부 네트워크에 침투한 뒤 악성 코드 파일을 올려 다수의 서버를 감염시킨 것으로 조사됐다. 로밍렌털서비스 관리자 페이지에는 SQL 삽입 공격을 벌여 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보 등을 조회·유출한 정황도 확인됐다.
KT는 2024년 3월 서버의 악성 코드 감염 사실을 파악하고도 정부에 침해 사고를 신고하지 않았다. 또 침해 발생 서버 10대의 로그를 삭제하는 등 조직적으로 침해사실을 은폐한 정황도 확인됐다.
아울러 KT는 개인정보위 조사 초기에는 감염 서버와 관련해 보존하고 있는 자료가 없다고 진술했으나, 개인정보위가 디지털 포렌식을 통해 조사 착수 전 관련 로그를 삭제한 정황을 확인하자 진술을 번복하고, 별도로 보관하던 로그를 제출했다.
◇"LG유플러스, 조사 전 서버 재설치·폐기…공무집행방해 수사 의뢰"
개인정보위는 LG유플러스가 개인정보 유출 의혹과 관련된 서버를 조사 착수 전에 재설치하거나 폐기해 사실관계 확인을 어렵게 했다고 보고, 공무집행방해 혐의로 수사를 의뢰하기로 했다.
개인정보위는 지난해 8월 미국 보안 전문지 '프랙'에 공개된 LG유플러스의 개인정보 유출 의혹을 인지하고 같은 해 9월 10일 조사에 착수했다. 조사 과정에서 LG유플러스 임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일이 LG유플러스의 통합 비밀번호 관리 시스템(APPM)에서 실제 LG유플러스가 보유·관리하던 정보로 확인됐다.
다만 LG유플러스는 개인정보위가 조사에 착수하기 전인 지난해 8월 12일과 14일 APPM 서버 등 관련 서버의 운영체제(OS)를 재설치하고, 같은 달 25일에는 일부 서버를 폐기했다.
한편, 개인정보위는 사업자가 조사, 제재 회피 목적으로 관련 개인정보 유출 관련 증거를 은닉, 폐기하는 행위를 막기 위한 제도 개선을 추진한다. 우선 조사에 착수하기 전 사업자가 자료를 은닉·폐기하는 행위를 형사처벌할 수 있는 규정을 마련할 계획이다.
증거를 은닉하거나 폐기한 사업자에게 전체 매출액의 3% 이내에서 과징금을 부과하는 방안과, 사업자의 증거 은닉·폐기 사실을 신고해 조사와 처분에 기여한 사람에게는 신고 포상금을 지급하는 제도를 추진한다.
또 조사에 협조하지 않거나 시정 명령을 이행하지 않는 사업자에게 일 매출액의 0.3%를 이행 강제금으로 부과하고, 개인정보 침해 사고가 발생하면 관련 자료를 삭제하거나 변경하지 못하도록 개인정보위가 자료 보존 명령을 내릴 수 있게 개인정보보호법을 개정할 계획이다.
송경희 개인정보위 위원장은 "이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다"고 했다.