개인정보위, 통신업계 ‘보안불감증’ 저격… KT 500억 원대 과징금·LG U+수사 의뢰

[산업일보]
지난해 펨토셀을 통한 개인정보 유출로 무단 소액결제 사고를 일으켰던 KT에 안전조치 의무 위반으로 과징금 539억 7천900만 원이 부과되고, 조사 발행 행위로 고발됐다. LG U+(엘지 유플러스)도 개인정보 유출 조사 착수 전 증거 인멸 혐의로 수사기관에 넘겨졌다.

개인정보보호위원회 양청삼 사무청장은 30일 정부서울청사 브리핑실에서 이같은 내용이 담긴 시정조치안을 의결한 29일 개인정보위 전체회의 결과를 발표했다.

개인정보위는 KT의 펨토셀 기반 개인정보 유출사고에서 이용자 1만 6천647명의 개인정보가 유출됐고, 총 368명을 대상으로 2억 4천만 원에 이르는 무단 소액결제 피해가 발생한 것으로 파악했다. 실제 정보주체의 규모만을 따졌기 때문에 과학기술정보통신부 민관합동조사단이 발표한 2만 2천227건의 유출규모와는 차이가 발생했다.

사고 원인은 KT의 내부망에 대한 기본적인 접근통제 관리 소홀로 지목했다. 사고 당시 펨토셀의 인가 여부를 확인하는 셀 ID를 관리하지 않아 해커의 비인가 펨토셀이 관리서버를 우회 접속하는 이상 행위를 탐지하지 못했고, 펨토셀 IP에 대한 접근 통제도 소홀히 했다는 분석이다.

개인정보위는 이번 사건이 유출된 개인정보가 실제 금전적 피해로 이어진 매우 심각한 사례라고 판단하고, KT가 안전조치 의무를 소홀히 한 행위에 대해 과징금 539억 7천900만을 부과했다. 실제 금전 피해 발생, 개인정보 유출 규모, 추가 개인정보 확보 경위 미확인, 피해보상 실시, 등을 고려했다.

더불어 사고 재발 방지를 위해 무선통신망 장비에 대한 취약점 점검 및 안전조치를 강화하도록 시정명령 했고, 개인정보보호 관리체계(ISMS-P) 인증 범위를 일부 IT서비스에서 이동통신 네트워크 시스템까지 확대할 것을 권고했다.

이 과정에서 KT는 신유형의 사고로 예측 및 대응이 불가능했다고 주장했지만, 개인정보위는 해외사례 및 학계에서 펨토셀 보안 취약점에 대한 지적이 지속적으로 제기돼왔으며, 안전조치 의무 준수 시 충분히 예방할 수 있었다고 봤다.

KT ‘조직적 은폐’·LG U+ ‘서버 재설치·폐기’, 수사의뢰
KT와 LG U+의 악성코드 감염사고에 대한 조사도 이뤄졌다. 먼저 KT 펨토셀 유출사건 조사과정에서 2024년 3월경 KT 로밍 렌털서비스 홈페이지 취약점을 악용한 해커가 KT 서버 38대에 다수의 악성코드를 감염시키고, KT 임직원 및 협력사 일부 직원의 개인정보를 조회·유출한 사실이 확인됐다.

당시 KT는 감염 사실을 인지하고도 침해사실을 신고하지 않고 상세 분석을 진행하지 않은 채 자제적으로 조치했다. 이어 지난해 4월 타 통신사 개인정보 유출사고를 계기로 KT 서버를 전수점검하는 과정에서 일부 침해 발생 서버의 로그를 삭제하는 조직적 침해사실 은폐 정황도 포착됐다.

개인정보위는 KT의 거짓자료 제출, 진술 번복 등 조사 방해 행위를 고발하고, 수사 결과에 따라 추가로 확인되는 사실관계를 종합해 처분을 진행할 예정이다.

LG U+의 경우 미국 보안전문지 프랙(Phrack)의 LG U+개인정보 유출 정황 발표를 통해 조사가 진행됐다. 개인정보위는 프랙에서 확인된 개인정보가 LG U+의 통합 비밀번호 관리시스템(Automated Process Policy Management, APPM)에서 관리하던 것으로 확인했으나, 조사 착수 전 APPM과 관련 서버의 운영체제를 재설치 또는 폐기해 정확한 유출 경위와 추가 유출 여부를 점검하지 못했다.

이에 개인정보위는 LG U+의 행위가 공무집행 방해에 해당한다고 판단하고 수사기관에 의뢰하기로 했다.

양청삼 사무처장은 “KT와 LG U+의 사례처럼 유출 가능성이 존재함에도 조사 회피를 목적으로 관련 증거를 은닉·폐기하는 행위에 대해 조사 실효성을 강화하는 제도 개선을 추진하고 있다”라고 말했다.

현재 ‘조사 중 은닉 행위’에 대해선 제재가 가능하나, ‘조사 착수 전 은닉 행위’에 대해선 제재 규정이 미비하다는 사각지대가 있다. 이에 ▲형사처벌 도입 ▲증거 은닉 및 폐기 과징금 부과 ▲신고포상금 지급 등의 제도를 개선하고 이행강제금 부과, 자료 보전 명령 등을 담은 개인정보보호법 개정을 추진하겠다는 것이다.

양 사무처장은 “사고 은폐와 조사 방해라는 일부 기업의 고질적 관행에 경종을 울리고, 증거 은닉·폐기 관련 제도 개선을 통해 더 이상 이런 행위가 유리한 선택이 아님을 확인시킬 것”이라고 단언했다.

그러면서 “이번 처분이 통신 업계 전반의 보안 역량을 강화하는 계기가 되길 바란다”라며 “투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 확립하겠다”라고 밝혔다.