펨토셀 해킹으로 1만6천여 명 정보 유출·368명 소액결제 피해
로그 삭제·허위 진술 적발…개인정보위 제도 개선 추진

개인정보보호위원회가 불법 펨토셀 해킹으로 이용자 개인정보가 유출되고 무단 소액결제 피해가 발생한 KT에 540억 원 규모의 과징금을 부과했습니다.

개인정보위는 개인정보 보호법 위반을 이유로 KT에 과징금 539억7천900만 원을 부과하고, 시정명령과 개선권고, 공표명령을 의결했습니다.

또 조사 과정에서 로그를 삭제하고 사실과 다른 진술을 하는 등 조사 방해 행위가 있었다고 보고 KT를 고발하기로 했습니다.

조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 불법 장비에 적용해 이동통신망에 접속한 뒤, 이용자 단말과 내부망 사이의 통신 정보를 가로챈 것으로 파악됐습니다.

이후 확보한 개인정보를 이용해 결제 인증 문자메시지와 자동응답시스템, ARS를 탈취하는 방식으로 무단 소액결제를 시도했습니다.

이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6천647명의 휴대전화번호와 국제모바일가입자식별번호, IMSI, 단말기식별번호, IMEI가 유출됐고, 368명이 모두 2억4천만 원 규모의 소액결제 피해를 입었습니다.

개인정보위는 KT가 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP를 제한하지 않는 등 보안 관리가 미흡했으며, 비인가 장비 접속을 탐지하는 체계도 제대로 갖추지 않았다고 지적했습니다.

해커는 약 11개월 동안 KT 내부망에 접속했지만, KT는 이용자 피해가 발생한 뒤에야 이상 징후를 확인한 것으로 조사됐습니다.

개인정보위는 무선통신망 장비 보안 강화와 개인정보 보호 체계 개선도 함께 명령했습니다.

또 KT가 지난해 로밍렌탈서비스 서버의 악성코드 감염 사실을 정부에 신고하지 않았고, 침해 서버 일부의 로그를 삭제한 사실도 확인했다고 공개했습니다.

개인정보위는 악성코드 감염 사건에 대해서도 추가 조사를 이어갈 방침입니다.

이와 함께 LG유플러스에 대해서는 조사 착수 전에 서버를 재설치하거나 폐기해 정확한 유출 경위 확인을 어렵게 했다며 공무집행방해 혐의로 수사를 의뢰하기로 했습니다.

개인정보위는 앞으로 조사 착수 전 증거를 은닉하거나 폐기한 경우 형사처벌과 과징금을 부과할 수 있도록 하고, 신고포상금 제도와 자료 보전명령 제도 도입 등을 추진할 계획입니다.