KT, 불법 펨토셀 개인정보 유출에 과징금 540억…조사 방해는 고발

1만6647명 개인정보 유출…368명 2억4000만원 무단결제 피해

비인가 펨토셀 11개월간 내부망 접속에도 탐지 못해

악성코드 감염 은폐·로그 삭제…LGU+ 서버 폐기는 수사의뢰

박윤영 KT 대표가 지난 6일 서울 풀만 앰배서더 서울 이스트폴 호텔에서 가진 취임 후 첫 기자간담회에서 발언하고 있다.ⓒKT

불법 펨토셀을 통해 이용자 1만6647명의 개인정보가 유출되고 2억4000만원 규모의 무단 소액결제 피해가 발생한 KT에 약 540억원의 과징금이 부과됐다.

개보위는 KT가 약 11개월간 이어진 비인가 펨토셀의 내부망 접속을 탐지하지 못하는 등 기본적인 접근통제에 소홀했다고 판단했다. 이와 별개로 악성코드 감염 사실을 신고하지 않고 관련 로그를 삭제하거나 거짓 자료를 제출해 조사를 방해한 행위에 대해서는 KT를 고발하기로 했다.

불법 펨토셀로 1만6647명 개인정보 유출…2억4000만원 무단결제 피해

개인정보보호위원회(개보위)는 29일 제15회 전체회의를 열고, '개인정보 보호법'을 위반한 ㈜KT에 대해 과징금 539억7900만원을 부과했다.

유사사고 재발 방지를 위해 펨토셀 등 무선통신망 장비에 대한 취약점 점검 및 통신망 내 개인정보에 대한 불법적인 접근통제 등 안전조치를 강화하는 한편, 회사 전반의 개인정보 처리 업무에 대해 개인정보 보호책임자(CPO)의 책임과 역할을 명확히 하는 등 거버넌스 체계를 정비할 것을 시정 명령했다.

또 KT가 일부 IT서비스를 대상으로 획득한 개인정보보호 관리체계(ISMS-P) 인증범위를 이동통신 네트워크 시스템까지 확대해 개인정보 보호수준을 제고할 것도 개선 권고했다.

앞서 개인정보위는 KT 소액결제로 인한 피해사례 접수 및 언론보도 등에 따라 개인정보 유출가능성을 인지하고 2025년 9월 10일 조사에 선제적으로 착수했다.

KT는 다음날인 9월 11일 5561명의 개인정보 유출을 신고했고, 이후 조사 과정에서 추가 유출이 확인돼 9월 18일과 10월 17일 두 차례 더 신고했다.

조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼내 이를 자체 제작한 펨토셀에 심은 뒤 이를 통해 KT 이동통신망에 접속했다.

이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 단말과 내부망 간 송·수신 정보를 가로챘고, 이를 추가적으로 확보한 개인정보(이름, 성별, 생년월일)와 결합해 휴대폰 소액결제를 요청한 뒤 결제인증코드가 포함된 ARS·SMS를 탈취해 무단 소액결제에 성공했다.

펨토셀은 가정이나 사무실, 지하 등 무선통신 신호가 약한 음영지역의 통신 품질을 개선하기 위한 소형기지국이다. KT는 2016년 11월부터 펨토셀을 도입·운영했으며, KT 인터넷을 사용하는 고객을 대상으로 설치기사가 직접 설치한다. 이용자에게 판매되지 않는 KT의 자산이다.

이 과정에서 KT 이용자 1만6647명(알뜰폰 포함, 중복제거)의 개인정보(휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI))가 유출됐으며, 총 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제 피해가 발생한 것으로 확인됐다.

다수의 개인정보 유출사고는 개인정보가 제3자에게 유출됐음에도 직접적인 피해가 명확히 확인되지 않은 경우가 많았으나, 이번 사건은 단순한 개인정보 유출에 그치지 않고, 펨토셀을 통해 유출된 개인정보가 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다고 개보위는 판단했다.

펨토셀의 KT 무선통신망 접속 승인과 인증체계 관리, 내부망 접속 허용, 보안통제 및 운영은 KT가 수행한다. 이용자는 펨토셀 설치 장소 등 운영환경만 제공한다. 개인정보위는 이에 따라 펨토셀의 실질적인 운영 주체가 KT이며, 이동통신망 접속과 서비스 제공을 위한 이용자 인증 및 개인정보 전송에 대한 관리통제권도 KT에 있다고 판단했다.

비인가 펨토셀 11개월간 내부망 접속…KT, 이상접속 탐지 못해

이번 사고는 KT가 초소형 기지국인 펨토셀을 관리·운영하면서 KT 내부망에 대한 기본적인 접근통제 관리를 소홀히 해 발생한 것으로 개보위는 판단했다.

이동통신 서비스를 위해 KT 내부망 내 개인정보 처리시스템인 홈가입자 서버(HSS) 등은 이용자 단말과 개인정보(휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등)를 전송하면서 가입자 및 기기를 인증하고, 음성·문자서비스를 연결한다.

이때, 음영지역의 이용자 단말은 펨토셀을 반드시 거치게 되므로, KT 내부망에는 인가된 펨토셀만 접속하도록 엄격하게 통제·관리할 필요가 있다.

그러나 사고 당시 KT의 펨토셀 관리체계는 전반적으로 부실해 인가받지 않은 펨토셀이 KT 내부망에 쉽게 접속할 수 있는 상태였다. KT는 내부망 접속을 위해 부여하는 펨토셀 인증서의 유효기간을 10년으로 장기간 설정했으며 내부망에 접속하는 펨토셀에 대해 접속 아이피(IP) 제한을 하지 않아 타사 또는 해외 아이피(IP)에서도 접속 가능하도록 운영했다.

또 펨토셀 관리서버를 우회하는 경로가 존재했으며, 펨토셀이 코어망 접속 시 부여되는 식별자인 셀 아이디(Cell ID)를 관리하지 않아 비인가 셀 아이디(Cell ID)의 이상접속 행위에 대한 탐지·대응체계가 부재한 상태로 운영하는 등 펨토셀을 통한 KT 내부망의 개인정보처리시스템에 대한 접근통제 관리를 소홀히 하고 있음을 확인했다.

해커는 유실된 KT 펨토셀에 존재하는 인증서를 복사하여 자체 제작한 펨토셀에 삽입했고, 별도의 인증절차 없이 KT의 내부망에 약 11개월간(2024년 10월 8일~2025년 9월 5일) 접속해 이용자의 개인정보를 유출하는 동안 KT는 이러한 이상접속 행위를 탐지하지 못했다.

소액결제 등 2차 피해가 발생해 다수의 민원이 접수된 후에야 비정상 접속을 식별할 수 있었다.

개인정보위는 KT가 개인정보 보호법에서 부여하고 있는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위한 안전조치 의무를 위반한 것으로 판단했다.

개인정보위는 펨토셀 사건 조사과정에서 2024년 3월 KT IT서비스 네트워크 내 38대 서버가 해킹으로 BPFDoor 등 다수의 악성코드에 감염된 사실을 확인하고, 개인정보 유출 가능성이 있다고 판단해 조사를 확대했다.

BPFDoor는 리눅스 시스템을 타깃으로 하는 백도어 악성코드를 말한다.

KT는 2024년 3월 자사 서버의 악성코드 감염 사실을 최초로 인지하고도 정부에 침해사실을 신고하지 않았고, 개인정보 유출 여부에 대한 상세 분석을 진행하지 않은 채 자체적으로 조치(2024년 3월~7월)했다.

당시 감염 서버 중에는 이용자 개인정보를 처리하는 시스템이 다수 포함돼 있는 상황이었다.

또 2025년 4월 타 통신사 개인정보 유출 사고를 계기로 KT 서버에 대한 악성코드 감염 여부를 전수 점검하는 과정에서, 침해 발생 서버 일부(10대)의 로그를 삭제하는 등 조직적으로 침해사실을 은폐한 정황도 확인했다.

개보위 조사과정에서 KT는 초기에는 감염서버에 대한 보존 자료가 없다고 거짓 진술했으나, 위원회가 디지털포렌식을 통해 조사착수 전 관련 로그를 삭제한 정황을 적발하자 진술을 번복하고 별도로 보관 중인 로그를 뒤늦게 제출해 조사를 지연시키는 등 위원회의 사고조사를 실질적으로 방해한 사실이 있었다.

개보위는 KT가 2024년 3월 악성코드 감염 사고 당시 개인정보 유출 분석을 소홀히 하고 정부에 신고하지 않은 데다, 이후 사고 서버의 로그 일부를 삭제하고 조사과정에서 거짓 자료를 제출하고 진술을 번복하는 등 조사를 방해한 행위에 대해 고발하기로 결정했다.

LGU+ 서버 폐기로 유출 경위 확인 못해…개보위, 수사의뢰

개보위는 이와 함께 조사 착수 전 서버를 폐기해 증거를 인멸한 LGU+에 대해서는 수사기관에 수사를 의뢰하기로 했다.

개인정보위는 2025년 8월 미국 보안 전문지 ‘Phrack’에서 발표한 LGU+의 개인정보 유출 사실을 인지하고 같은 해 9월 10일 조사에 착수하여 개인정보 유출 관련 사실관계를 검토했다.

조사 과정에서 LGU+ 임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일의 유출 여부를 점검했고, 해당 정보가 LGU+의 통합 비밀번호 관리시스템(‘APPM’)에서 실제 LGU+가 보유·관리하던 정보로 확인했다.

LGU+는 위원회의 조사 착수 전 APPM 서버 등 관련 서버의 운영체제(OS)를 재설치하거나 폐기해 위원회가 조사를 통해 정확한 유출 경위 및 추가 유출 여부 등을 확인할 수 없도록 했다.

개인정보위는 이 같은 행위로 개인정보 유출 관련 사실관계 확인이 어려워졌다고 보고, LGU+의 서버 OS 재설치 및 폐기를 공무집행방해 행위로 판단해 수사기관에 수사를 의뢰하기로 했다.

개인정보위는 관련 제도개선도 추진한다.

현행 규정상, ‘조사 중’ 은닉 등 행위에 대해서는 형사처벌·과태료 부과가 가능하나, ‘조사 착수 전’ 행위에 대해서는 제재 규정이 미비해 사업자가 사고 발생 시 증거를 미리 은닉·폐기하는 것이 오히려 유리할 수 있는 규제 사각지대가 있다.

개보위는 개인정보 유출사고가 발생하면 적기에 신고해 2차 피해를 최소화할 수 있도록 ▲‘조사 착수 전’ 은닉·폐기 행위에 대해 형사 처벌 규정 마련 ▲증거 은닉·폐기 시 과징금(전체 매출액의 3%) 부과 ▲증거 은닉·폐기를 신고해 조사·처분에 기여한 경우, 신고포상금 지급 등 제도 개선을 추진한다.

사업자의 비협조로 인해 조사가 지연되는 문제를 막기 위해 ▲조사 비협조 또는 시정명령 미 이행 시 이행강제금(일 매출액 0.3%) 부과 ▲침해사고 발생 시 자료보전명령 등이 가능하도록 보호법을 개정할 계획이다.

송경희 개인정보위 위원장은 “이번 처분이 국민 생활에 필수적인 서비스를 제공하는 통신 업계 전반의 보안 역량을 한층 강화하는 계기가 돼야 한다”며 “특히 사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선해 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다”고 밝혔다.