과징금 540억원 맞은 KT···"악성코드 감염 은폐 처벌은 별도"(종합)

'개인정보 유출' KT에 과징금 약 540억원 부과"유출 정보 유형·피해 규모 등으로 과징금 산정""사고 사실 은폐·폐기 경종 울려···관련 제도 개선"

양청삼 개인정보위 사무처장이 이날 서울 종로구 정부서울청사에서 열린 브리핑을 진행하고 있다. 사진=김세현 기자

KT가 개인정보 유출에 대한 안전조치 의무 위반으로 개인정보보호위원회로부터 약 540억원 규모의 과징금을 부과받았다. 다만 개인정보보호위원회는 KT가 악성코드 감염 관련 사실을 은폐한 부분에 대해서는 이번 과징금과 별개로 제재할 것이라는 입장을 내놨다.

30일 개인정보보호위원회(개인정보위)는 KT에 대해 과징금 539억7900만원을 부과하고, 시정명령, 개선권고, 공표 등을 명령했으며, 조사 과정에서 거짓 자료 제출 등으로 조사를 방해한 행위에 대해 고발을 의결했다.

침해 사실 은폐, 별도 제재 예정

개인정보위는 지난해 9월10일 KT의 불법 펨토셀을 통한 개인정보 유출 조사에 착수했다. 조사 결과, 해커는 유실된 KT 펨토셀에서 인증서를 빼내 이를 자체 제작한 펨토셀에 심은 뒤 이를 통해 KT 이동통신망에 접속한 것으로 나타났다.

이에 KT 이용자 1만6647명(알뜰폰 포함, 중복 제거)의 개인정보(휴대전화번호, 가입자식별번호, 단말기식별번호)가 유출됐으며, 총 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제 피해가 발생한 것으로 확인됐다.

개인정보위는 펨토셀의 실질적인 운영 주체가 KT이며, 펨토셀의 이동통신망 접속 및 서비스 제공을 위한 이용자 인증 과정과 이 과정에서의 개인정보 전송에 대한 관리 통제권이 KT에 속한다고 판단했다.

아울러 개인정보위의 조사 과정에서 KT가 2024년 3월 자사 서버의 악성코드 감염 사실을 최초로 인지하고도 정부에 침해사실을 신고하지 않았고, 개인정보 유출 여부에 대한 상세 분석을 진행하지 않은 채 자체적으로 조치(2024년 3~7월)한 정황이 드러났다.

당시 감염 서버 중에는 이용자 개인정보를 처리하는 시스템이 다수 포함되어 있는 상황이었다. 지난해 4월 타 통신사 개인정보 유출 사고를 계기로 KT 서버에 대한 악성코드 감염 여부를 전수 점검하는 과정에서 침해 발생 서버 일부(10대)의 로그를 삭제하는 등 조직적으로 침해 사실을 은폐한 정황도 확인했다.

양청삼 개인정보위 사무처장은 이날 서울 종로구 정부서울청사에서 열린 브리핑을 통해 "이번 제재 처분은 무단 소액결제 피해에 관한 건"이라며 "악성코드 감염 사실 인지 후 신고하지 않은 점에 대해서는 아직 남아 있으므로 새로운 사실이 나오게 되면, 그에 대해서는 별도의 처분이 예정돼 있다"고 말했다.

KT 과징금 산정, 유형·규모에 근거

이번 사태의 경우 고객들의 실질적인 피해가 발생했음에도 SK텔레콤과의 과징금 규모가 차이가 난다는 점에 대해서는 유출된 정보 유형과 규모 차이가 있다고 설명했다.

양 사무처장은 "이번 사건은 KT의 무선 통신 매출을 기준으로 했고, 금전적 피해 발생 등 규모를 따져 전체적으로 감안했다"며 이어 그는 "타 유사사업자와 비교하면 당시 (SK텔레콤) 피해자가 2300만명에 달했으나 KT의 경우 확정된 피해자가 1만명가량인 것이 종합적으로 고려됐다"고 말했다.

SK텔레콤과의 중대성도 차이가 있었다. 앞서 개인정보위는 SK텔레콤 사고 당시 피해자 수와 가입자 인증 정보 유출을 보고, 위반행위 중대성을 '매우 중대한 위반'으로 봤다. 그러나 이번 KT의 경우 '중대한 위반'으로 놓고 심의를 거쳤다.

개인정보위는 과징금 부과와 함께 유사사고 재발 방지를 위해 펨토셀 등 무선통신망 장비에 대한 취약점 점검 및 통신망 내 개인정보에 대한 불법적인 접근통제 등 안전조치를 강화하는 한편, 회사 전반의 개인정보 처리 업무에 대해 개인정보 보호책임자(CPO)의 책임과 역할을 명확히 하는 등 거버넌스 체계를 정비할 것을 시정 명령했다.

또, 개인정보위는 개인정보 유출 가능성이 존재함에도 조사·제재 회피 목적으로 관련 증거를 은닉·폐기하여 위원회 조사를 방해하는 행위에 엄정 대응하고 조사의 실효성을 강화할 예정이다.

이에 개인정보위는 개인정보 유출사고가 발생하면 적기에 신고하여 2차 피해를 최소화할 수 있도록 ▲조사 착수 전 은닉·폐기 행위에 대해 형사처벌 규정 마련 ▲증거 은닉·폐기 시 과징금(전체 매출액의 3%) 부과 ▲증거 은닉·폐기를 신고하여 조사·처분에 기여한 경우, 신고포상금 지급 등 제도 개선을 추진한다.

끝으로 양 사무처장은 "위원회는 이번 조사와 처분을 통해 위반 행위의 중대성에 상응하는 경제적 제재로 책임성을 제고하고, 사고를 은폐하더라도 끝까지 법적 책임을 묻는다는 원칙을 확인했다"며 "사고 은폐와 조사 방해라는 일부 기업의 고질적인 관행에 대해서 경종을 울리고 증거 은닉·폐기 관련 제도 개선을 통해 더 이상 이러한 행위가 유리한 선택이 아님을 확인시켜 나갈 것"이라고 설명했다.

한편, 개인정보위는 LG유플러스에 대한 조사도 재개할 것이라고 예고했다. 개인정보위는 지난해 9월 LG유플러스에 대한 개인정보 유출 조사를 시작했으나, 회사가 관련 서버 OS 재설치 및 폐기 행위로 개인정보 유출 관련 사실관계 확인을 어렵게 하여 이를 공무집행방해 행위로 판단하고 수사기관에 수사 의뢰를 한 상태다.

양 사무처장은 "현재 LG유플러스에 대한 조사가 중단된 부분 역시 자료와 현장 조사만으로는 증거를 수집하기에는 부족했다"며 "수사 과정에서 새로운 사실이 발견되면, 당연히 조사를 재개하고 제재까지 이어질 수 있다"고 설명했다.