은닉·폐기 시 과징금 부과 추진
LGU+ 증거 은닉·폐기로 드러난 규제 사각지대
KT “고개숙여 사과”... LGU+ “수사 성실히 임할 것”

[보안뉴스 강현주 기자] KT가 불법 펨토셀을 통한 개인정보 유출에 대한 안전조치 위반으로 과징금 539억7900만원을 부과받았다, 악성코드 감염 사실을 신고하지 않고 로그 삭제, 거짓 자료 제출 등으로 조사를 방해한 것에 대해서는 고발 조치를 당했다. 조사 착수전 서버 폐기 등 증거를 인멸한 LG유플러스에는 수사가 가해진다.

30일 개인정보보호위원회(위원장 송경희)는 이 같은 전체회의 결과를 발표했다.


[출처: 연합]

내부망에 대한 기본적인 접근통제 소홀
개인정보위는 KT의 펨토셀을 통한 이동통신 핵심 네트워크·시스템 접근통제 관리 소홀로 1만6647명의 개인정보(휴대전화번호, IMSI, IMEI) 유출 및 이동통신망 문자·전화 탈취를 확인했다고 밝혔다.

해킹으로 개인정보가 유출된 데 그치지 않고 소액결제 인증에 사용된 SMS·ARS까지 탈취돼 약 2억4000만원의 부정 결제가 발생하는 등 실제 피해로 이어지며 국민 불안이 커졌다는 게 개인정보위의 설명이다.

조사결과 공격자는 유실된 KT 펨토셀에서 인증서를 빼내 이를 자체 제작한 펨토셀에 심은 뒤 이를 통해 KT 이동통신망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 단말과 내부망 간 송·수신 정보를 가로챘고, 이를 추가적으로 확보한 개인정보(이름, 성별, 생년월일)와 결합해 휴대폰 소액결제를 요청한 뒤 결제인증코드가 포함된 ARS·SMS를 탈취해 무단 소액결제에 성공했다.

이 과정에서 KT 이용자 1만6647명의 개인정보(휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI))가 유출됐다. 당초 유출신고한 2만2227명 중 법인 및 다중회선 등 중복을 제거한 실제 정보주체 규모를 산정한 결과다. 또 총 368명을 대상으로 약 2억4000만원 상당의 무단 소액결제 피해가 발생했다.

이번 사고는 KT가 초소형 기지국인 펨토셀을 관리·운영하면서 KT 내부망에 대한 기본적인 접근통제 관리를 소홀히해 발생한 것으로 확인됐다.

개인정보위는 이에 대해 KT에 539억7900만원의 과징금을 부과했다. 또 재발 방지를 위해 펨토셀 등 통신설비 전반의 취약점 점검, 개인정보 보호책임자(CPO)의 실질적 역할 수행을 포함한 대책을 3개월 내 수립·보고하도록 시정명령했다. 아울러 사고가 발생한 이동통신 네트워크·시스템에 대해 개인정보보호 관리체계(ISMS-P) 인증을 받도록 개선권고했다.

로그 삭제 등 조직적 은폐 정황 확인
개인정보위는 KT가 2024년 3월 악성코드 감염 사실을 신고하지 않고 로그 삭제, 거짓 자료 제출 등으로 조사를 방해한 것에 대해서는 고발 조치했다.

개인정보위는 펨토셀 사건 조사과정에서 2024년 3월 KT IT서비스 네트워크 내 38대 서버가 해킹으로 BPF도어 등 다수의 악성코드에 감염된 사실을 확인하고, 개인정보 유출 가능성이 있다고 보고 조사를 확대했다. 사건 발생 이후 조사가 진행되는 시점에 사고 당시의 네트워크 로그 부재 등으로 사실관계 확인에 한계가 존재해 공격이 발생한 38대 서버의 개인정보 처리시스템에 대한 이용자 개인정보의 추가 유출은 확인할 수 없었다.

KT는 2024년 3월 자사 서버의 악성코드 감염 사실을 최초로 인지하고도 정부에 침해사실을 신고하지 않았고, 개인정보 유출 여부에 대한 상세 분석을 진행하지 않은 채 자체적으로 조치(2024년 3월 ~ 7월)했다. 당시 감염 서버 중에는 이용자 개인정보를 처리하는 시스템이 다수 포함되어 있는 상황이었다.

2025년 4월 타 통신사 개인정보 유출 사고를 계기로 KT 서버에 대한 악성코드 감염 여부를 전수 점검하는 과정에서, 침해 발생 서버 일부(10대)의 로그를 삭제하는 등 조직적으로 침해사실을 은폐한 정황도 확인됐다. 개인정보위 조사과정에서 초기에는 감염서버에 대한 보존 자료가 없다고 거짓 진술했으나 위원회가 디지털포렌식을 통해 조사착수 전 관련 로그를 삭제한 정황을 적발해 내자, 진술을 번복했다. 별도로 보관중인 로그를 뒤늦게 제출해 조사를 지연시키는 등 위원회의 사고조사를 실질적으로 방해한 사실이 있다.

“증거 은닉·폐기 규제 사각지대... 제도개선할 것”
개인정보위는 이와 함께 서버 폐기 등 증거를 인멸한 LG유플러스는 수사를 의뢰했다.

개인정보위는 2025년 8월 미국 보안 전문지 ‘프랙’에서 발표한 LGU+의 개인정보 유출 사실을 인지하고 같은 해 9월 10일 조사에 착수해 개인정보 유출관련 사실관계를 검토했다.

조사 과정에서 LGU+ 임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일의 유출 여부를 점검했고, 해당 정보가 LGU+의 통합 비밀번호 관리시스템에서 실제 LGU+가 보유·관리하던 정보로 확인됐다.

LGU+는 위원회의 조사 착수 전 APPM 서버 등 관련 서버의 운영체제(OS)를 재설치(2025.8.12, 8.14)하거나 폐기(2025.8.25)해 위원회가 조사를 통해 정확한 유출 경위 및 추가 유출 여부 등을 확인할 수 없도록 했다.

개인정보위는 KT와 LGU+ 같이 개인정보 유출 가능성이 존재함에도 조사·제재 회피 목적으로 관련 증거를 은닉·폐기하여 위원회 조사를 방해하는 행위에 엄정 대응하고 조사의 실효성을 강화하기 위한 제도개선을 추진한다.

개인정보위는 개인정보 유출사고가 발생하면 적기에 신고해 2차 피해를 최소화할 수 있도록 △‘조사 착수 전’ 은닉·폐기 행위에 대해 형사처벌 규정 마련 △증거 은닉·폐기시 과징금(전체 매출액의 3%) 부과 △증거 은닉·폐기를 신고하여 조사·처분에 기여한 경우 신고포상금 지급 등 제도 개선을 추진한다.

개인정보위 측은 “위원회 조사착수 전 서버 폐기 등 증거 은닉·폐기가 이루어져 보호법상 조사방해 요건에 해당하지 않아 형법상 공무집행 방해로 수사기관에 수사 의뢰하기로 했다”며 “이러한 규제 사각지대 및 행정조사의 한계를 인지하고, 조사실효성 확보를 위한 제도개선을 추진 중”이라고 밝혔다.

한편 KT는 이번 처분 결과에 대해 “무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”며 “개인정보보호 보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 밝혔다.

LGU+는 “이미 동일한 사안에 대해 경찰 수사가 진행 중이며 앞으로도 수사에 성실히 임하겠다”고 밝혔다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>