'개인정보 유출' KT···개보위, 과징금 약 540억원 부과

펨토셀 취약점 점검·CPO 역할 강화 대책 등 시정명령

그래픽=이찬희 기자

개인정보 유출 사고로 제재를 앞뒀던 KT에 개인정보보호위원회가 약 540억원의 과징금을 부과했다. 이어 개보위는 재발 방지를 위해 펨토셀 등 통신설비 전반의 취약점 점검, 개인정보보호책임자(CPO)의 실질적 역할 수행을 포함한 대책 등을 3개월 내 보고하도록 시정명령했다.

30일 개인정보보호위원회(개인정보위)는 KT에 대해 과징금 539억7900만원을 부과하고, 시정명령, 개선권고, 공표, 공표 명령하고, 조사과정에서 거짓자료 제출 등으로 조사를 방해한 행위에 대해 고발을 의결했다.

앞서 개인정보위는 KT 소액결제로 인한 피해사례 접수 등에 따라 가능성을 인지하고, 지난해 9월 10일 조사에 착수했다. KT는 다음날인 11일 5561명의 개인정보 유출을 신고했고, 이후 조사 과정에서 추가 유출이 확인돼 같은 달 18일과 10월 17일 두 차례 더 신고한 바 있다.

조사 결과, 해커는 유실된 KT 펨토셀에서 인증서를 빼내 이를 자체 제작한 펨토셀에 심은 뒤 이를 통해 KT 이동통신망에 접속한 것으로 나타났다.

이 과정에서 KT 이용자 1만6647명(알뜰폰 포함, 중복 제거)의 개인정보(휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI))가 유출됐으며, 총 368명을 대상으로 약 2.4억원 상당의 무단 소액결제 피해가 발생한 것으로 확인됐다.

개인정보위는 펨토셀의 실질적인 운영 주체는 KT이며, 펨토셀의 이동통신망 접속 및 서비스 제공을 위한 이용자 인증과정, 이 과정에서의 개인정보 전송에 대한 관리통제권은 KT에 속한다고 판단했다.

개인정보위는 과징금 부과와 함께 유사사고 재발 방지를 위해 펨토셀 등 무선통신망 장비에 대한 취약점 점검 및 통신망 내 개인정보에 대한 불법적인 접근통제 등 안전조치를 강화하는 한편, 회사 전반의 개인정보 처리 업무에 대해 개인정보 보호책임자(CPO)의 책임과 역할을 명확히 하는 등 거버넌스 체계를 정비할 것을 시정명령했다.

또한, 일부 IT서비스를 대상으로 획득한 개인정보보호 관리체계(ISMS-P)의 인증 범위를 이동통신 네트워크 시스템까지 확대하여 개인정보 보호 수준을 제고할 것을 개선 권고했다.

KT는 이에 대해 " 개인정보보호위원회의 처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"고 말했다.

이어서 "KT는 개인정보보호 보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 입장을 밝혔다. 법적 대응 등 후속조치는 의결서 수령 후 검토한 뒤 결정할 예정이다.

한편, 개인정보위는 지난해 9월 LG유플러스에 대한 개인정보 유출 조사를 시작했으나, 회사가 관련 서버 OS 재설치 및 폐기 행위로 개인정보 유출 관련 사실관계 확인을 어렵게 해 이를 공무집행방해 행위로 판단하고 수사기관에 수사 의뢰를 한 상태다.