[이데일리 안유리 기자] 지난해 펨토셀(소형기지국) 해킹 사고가 발생한 KT(030200)가 개인정보보호법 위반으로 과징금 539억7900만원을 부과받았다. 개인정보보호위원회는 KT가 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해했다고 보고 고발도 의결했다.

양청삼 개인정보보호위원회 사무처장이 30일 정부서울청사에서 KT와 LGU+ 개인정보 유출사고에 대한 조사 처분 결과에 대하여 브리핑을 하고 있다. (사진=개인정보보호위원회)

개인정보위 조사 결과, 이번 펨토셀 해킹으로 1만6647명의 개인정보(휴대전화번호, IMSI, IMEI) 유출 및 이동통신망 문자·전화 탈취가 확인됐다. 당초 KT가 유출 대상으로 신고한 2만2227명 가운데 법인 명의와 다중 회선 등 중복을 제거해 실제 정보주체 수를 산정한 결과다.

총 368명 피해자에게 약 2억4000만원 상당의 무단 소액결제 피해도 발생했다. 개인정보위는 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 크다고 봤으며, 이번 건을 ‘중대한 위반행위’로 판단했다.

개인정보보호법상 중대성 등급 가운데 ‘매우 중대한 위반행위’ 한단계 낮다. 지난해 1300억원대 과징금을 부과받은 SK텔레콤(017670)은 당시 매우 중대한 위반행위로 판단한 바 있다.

아울러 개인정보위는 조사 착수 전 서버를 폐기한 LG유플러스에 대해 형사상 공무 집행 방해 혐의로 수사기관에 수사 의뢰하기로 했다.

다음은 이날 과징금 산정 기준 등, KT 제재 내용에 대한 양청삼 개인정보위 사무처장과 개인정보위 브리핑 내용을 일문일답으로 정리한 것이다.

Q. 과징금 539억7900만원의 산정 기준과 ‘중대성 판단’ 기준은 무엇인가?

과징금을 산정할 때 관련 매출액을 기준으로, 법적 상한인 전체 매출액의 3%를 초과하지 않는 범위에서 부과한다. 그다음에 이 위반행위가 얼마나 중대한지 중대성 판단을 한다. KT의 경우 중대한 위반으로 판단했다.

KT의 경우 2차 피해가 난 부분들은 굉장히 중요하게 봤고 이 부분에 대해 위원님들 간에 치열한 논의가 있었다. 2차 피해 여부를 어떻게 판단할 것인가, 피해 유출 정보의 유형과 규모, 인증 정보가 해당되지 않았고, 유출된 IMEI와 전화번호 등이 통신사가 처리하는 기본적인 정보라는 점을 어떻게 평가할 것인가에 대한 논의가 있었다.

개인정보보호법 시행령 위반행위의 중대성 기준 (사진=법령정보센터 갈무리)

개인정보보호법 시행령은 과징금의 산정기준과 산정절차를 △위반행위 정도 △암호화 등 안전성 확보 조치 이행 노력 △분실·도난·유출·위조·변조·훼손의 규모 및 관련성 △정보주체 영향 △피해 규모 등을 종합적으로 고려해 판단하도록 하고 있다.

개인정보위는 종합적 고려에 대한 내부 기준을 마련하고 있으나, 공개하지 않고 있다.

Q. 과징금 산정 과정에서 SK텔레콤 등 앞선 사례와 차이가 있는지?

SK텔레콤의 경우 피해 규모가 2000만명이 넘었고, 유출된 개인정보의 유형과 규모에서 있어서 ‘매우 중대한 위반’으로 보았다.

2차 피해가 발생했다는 점에서는 전체 과정에서 위원님들이 굉장히 심각한 요소로 보았는데 상대적으로 타 사례와 비교해서 확인된 유출 규모 자체가 상대적으로 소규모였다. 유출된 정보 종류, 피해보상, 시정조치가 신속하게 협조가 됐다는 점 등이 감안됐다.

Q. 관련 매출액의 범위는 어떻게 산정했나?

무선통신 매출액을 기본 LTE와 5G 매출을 종합적으로 포함시켰다. 구체적인 수치는 나중에 의결서를 통해 공유할 예정이다.

펨토셀 자체가 LTE에서 기본적으로 사용되는 장비고, 5G 서비스 신규 도입 이후에도 인프라 확충에 상당 기간 시간이 걸리기 때문에 5G 어떤 통신설비가 확충되지 않은 곳에서는 LTE망을 겸용으로 이용하기 때문에 5G하고 LTE 서비스를 다 같이 이렇게 매출액 산정에 고려했다.

Q. 이번 과징금에 2024년 KT 악성코드 감염 건도 포함된 것인지?

위원회는 이번 악성코드 감염사건에 대해서는 별도로 처분을 하지 않았다.

KT는 2024년 3월 자사 서버의 악성코드 감염 사실을 최초로 인지하고도 정부에 침해사실을 신고하지 않았고, 개인정보 유출 여부에 대한 상세 분석을 진행하지 않은 채 자체 조치에 그쳤다.

과기부 민관합동조사단에서 조사 결과를 발표한 당시에는 ‘감염 사실은 있었는데 개인정보 유출은 추가적으로 확인되지 않았다’라고 결과 발표를 했다. 개인정보위는 그 이후에도 더 조사가 진행되는 과정에서 당시 서버에 SQL 인젝션 공격이 있었고, 그 과정에서 일부 개인정보의 유출이 있었던 부분을 확인했다.

다만 개인정보위가 조사를 완료한 단계가 아니고 고발을 통해서, 또 추가적인 사실관계 확인이나 이런 부분들이 진행될 예정이기 때문에 정확한 사실관계는 추후에 확정하고 발표할 예정이다.

Q. LG유플러스는 KT와 달리 고발 조치 대신 ‘수사 의뢰’한 이유?

개인정보위는 2025년 8월 미국 보안 전문지 ‘Phrack’(프랙)에서 발표한 LG유플러스(032640)의 개인정보 유출 사실을 인지하고 같은 해 9월 10일 조사에 착수했다. 다만, LGU+는 조사 착수 전인 2024년 8월 12일과 8월 14일 APPM 서버 등 관련 서버의 운영체제(OS)를 재설치했고, 2025년 8월 25일 폐기했다.

개인정보 유출에 대한 은닉·폐기의 가능성을 배제할 수 없어서 수사를 의뢰하게 되었다.

현행 규정상 조사 중 은닉 등 행위에 대해서는 제재가 가능하나 조사 착수 전 행위에 대해서는 제재 규정이 미비하다. 사업자가 사고 발생 시 증거를 미리 은닉·폐기하는 것이 오히려 유리하다고 생각할 수 있는 규제의 사각지대가 존재한다. 개인정보위는 이에 대해 관련 제도를 개선해나갈 계획이다.