KT가 초소형 기지국 '펨토셀'의 내부망 접속 관리를 소홀히 해 이용자 1만 6647명의 개인정보가 유출되고 2억 4000만 원 상당의 무단 소액결제 피해가 발생한 사건에 대해 개인정보보호위원회가 539억 원의 과징금을 부과했다.

아울러 악성코드 감염 사고를 신고하지 않은 채 로그를 삭제하고 조사를 방해한 행위는 고발하기로 했다.

개인정보위는 지난 29일 전체회의를 열고 개인정보 보호법상 안전조치 의무를 위반한 KT에 이같이 처분하기로 의결했다고 30일 밝혔다.

유실 장비 인증서 복제…문자·전화 인증까지 탈취
펨토셀은 가정이나 사무실, 지하 등 이동통신 신호가 약한 곳에 설치하는 소형 기지국이다. 이펨토셀은 이용자의 휴대전화와 통신사 핵심망을 잇는 관문이어서 보안이 뚫리면 개인정보뿐 아니라 문자·전화 인증까지 탈취될 수 있다.

조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼내 자체 제작한 장비에 복제한 뒤 KT 이동통신망에 접속했다. 이용자 단말기가 해커의 펨토셀을 거치도록 유도해 단말기와 내부망 사이에서 오가는 정보를 가로챘다.

해커는 이를 별도로 확보한 이름과 성별, 생년월일 등의 정보와 결합해 소액결제를 요청하고, 인증번호가 담긴 문자메시지(SMS)와 자동응답전화(ARS)를 탈취했다.

이 과정에서 KT와 KT망 알뜰폰 이용자 1만 6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다. 368명에게서는 약 2억 4000만 원의 무단 소액결제 피해가 발생했다.

1만 6647명은 당초 신고된 유출 정보 2만 2227건 가운데 법인 명의와 다중 회선 등 중복을 제외한 실제 정보주체 수다.


인증서 유효기간 10년…11개월간 이상 접속 몰라
개인정보위는 KT의 펨토셀 관리체계가 전반적으로 부실했다고 판단했다.

KT는 내부망 접속에 쓰는 펨토셀 인증서의 유효기간을 10년으로 설정했다. 접속 인터넷주소(IP)도 제한하지 않아 다른 통신사나 해외 IP에서도 접속할 수 있도록 운영했다.

펨토셀 관리서버를 거치지 않고 코어망에 접속할 수 있는 우회 경로도 존재했다. 장비 식별값인 '셀 아이디'(Cell ID) 관리가 부실했고 비인가 장비의 접속을 탐지하는 체계도 갖추지 않았다.

이에 따라 해커는 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 KT 내부망에 접속했다. KT는 소액결제 피해와 관련 민원이 발생한 뒤에야 비정상 접속을 파악했다.

KT측은 자체 제작 펨토셀을 이용한 전례 없는 유형의 공격이어서 예측이 어려웠다고 주장했다. 개인정보위는 해외와 학계에서 펨토셀 보안 취약성이 지속해서 제기된 만큼 기본적인 안전조치를 했다면 예방할 수 있었다고 봤다.

과징금은 사고와 관련된 KT의 5세대 이동통신(5G)·롱텀에볼루션(LTE) 매출을 기준으로 산정됐다. 인터넷TV(IPTV)와 유선 인터넷 등 관련 없는 매출은 제외됐다.

개인정보위는 KT에 펨토셀 등 통신설비의 취약점을 점검하고 개인정보 불법 접근을 막을 대책을 3개월 안에 마련해 보고하라고 명령했다.

개인정보 보호책임자(CPO)의 책임과 역할을 강화하고 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신 네트워크와 시스템까지 확대하도록 권고했다.


악성코드 감염 알고도 미신고…로그 삭제·거짓 자료 제출
개인정보위는 펨토셀 사고 조사 과정에서 KT가 2024년 3월 서버 38대의 악성코드 감염 사실을 인지하고도 정부에 신고하지 않은 사실도 확인했다.

해커는 KT 로밍렌탈서비스 홈페이지의 취약점을 이용해 내부 네트워크에 침투한 뒤 'BPFDoor' 등 악성코드를 퍼뜨렸다. 일부 KT 임직원과 협력사 직원의 이름과 전화번호, 계정이 조회·유출된 정황도 확인됐다.

다만 사고 당시 네트워크 로그 등이 남아 있지 않아 감염 서버에서 처리하던 이용자 개인정보가 추가로 유출됐는지는 확인하지 못했다.

KT는 2025년 4월 악성코드 감염 여부를 전수 점검하면서 침해 서버 10대의 로그를 삭제한 정황도 드러났다.

개인정보위 조사 초기에는 보존 자료가 없다고 진술했으나 디지털 포렌식에서 로그 삭제 정황이 발견되자 별도로 보관하던 로그를 뒤늦게 제출했다.

개인정보위는 KT가 개인정보 유출 분석을 소홀히 하고 사고를 신고하지 않은 데다 거짓 자료 제출과 진술 번복 등으로 조사를 방해했다고 보고 수사기관에 고발하기로 했다.



kxmxs4104@news1.kr