KT 개인정보 유출 과징금 29일 심의…'금전 피해·보안 부실' 변수

[서울=뉴시스]윤정민 기자 = 정부가 지난해 가입자 정보 유출 사고를 낸 KT에 대해 29일 제재 수위를 결정한다. 개인정보 유출 규모는 SK텔레콤이나 쿠팡 사고보다 상대적으로 작다. 하지만 유출 정보가 무단 소액결제 범죄에 실제 악용돼 금전 피해가 발생한 만큼 과징금이 어느 수준에서 결정될지 업계 관심이 쏠린다.

27일 업계에 따르면 개인정보보호위원회는 오는 29일 전체회의를 열고 KT의 개인정보 보호법 위반 여부, 과징금·시정명령 등 제재 안건을 심의할 예정이다.

KT는 지난해 9월 수도권 일부 지역에서 불법 펨토셀(초소형 기지국)을 이용한 무단 소액결제 사고를 겪었다. 공격자는 KT망에 불법 기지국을 접속시켜 주변 이용자 휴대전화를 가짜 기지국과 연결한 뒤 전화번호와 국제이동가입자식별번호(IMSI), 단말기식별번호(IMEI) 등을 빼낸 것으로 조사됐다.

과학기술정보통신부 민관합동조사단 조사 결과 불법 펨토셀에 접속한 KT 이용자 2만2227명의 가입자 식별번호와 단말기 식별번호, 전화번호가 유출됐다. 이 가운데 368명은 무단 소액결제로 약 2억4300만원의 금전 피해를 입었다.

또 불법 펨토셀 사고와 별개로 KT 서버 94대에서 BPF도어와 루트킷, 백도어 등 악성코드 103종이 발견된 점도 확인됐다. 일부 감염 서버에는 이름과 전화번호 등 개인정보가 저장돼 있었다. 하지만 정부는 로그가 남아 있는 기간에는 유출 정황이 없었다고 밝힌 상태다.

개인정보 보호법에 따르면 개인정보위는 위반 행위와 관련된 매출액의 최대 3%를 과징금으로 부과할 수 있다.

KT의 최근 3년간 무선 서비스 매출은 연평균 약 6조6689억원이다. 이를 법정 상한인 3%에 단순 대입하면 약 2000억원이다.

하지만 실제 과징금은 개인정보위가 무선서비스 매출 가운데 어느 범위까지 위반 행위와 관련된 매출로 인정하는지와 위반 행위의 중대성, 위반 기간, 사후 조치, 가중·감경 사유 등에 따라 크게 달라질 수 있다.

과징금 수위를 높일 요인으로는 통신망 핵심 설비인 펨토셀 관리가 부실했다는 점이 꼽힌다. KT는 펨토셀 생산과 납품, 내부망 접속 인증 전반에서 보안 관리를 제대로 하지 않아 불법 장비의 내부망 접속을 막지 못했다.

통신망 보안 관리 부실이 가입자 정보 유출을 넘어 실제 결제 인증 탈취로 이어졌다는 점에서 KT에는 과징금 산정상 불리한 요소로 작용할 가능성이 있다.

KT 서버에서 악성코드가 발견된 점도 변수다. 개인정보 유출 정황이 확인되지 않았지만 KT가 악성코드 방지와 접근 통제, 접속기록 보관 등 안전조치 의무를 제대로 이행하지 않았다고 정부가 판단할 경우 별도 법 위반 사항으로 과징금 산정에 반영될 수 있다.

한편 회의에서 위원들이 과징금 산정 기준이나 사실관계에 대한 추가 검토가 필요하다고 판단할 경우 처분안 의결이 다음 회의로 미뤄질 가능성도 있다. KT의 펨토셀 관리 부실과 실제 금전 피해를 개인정보위가 어느 정도로 무겁게 판단할지가 최종 제재 수위를 가를 전망이다.

◎공감언론 뉴시스 alpaca@newsis.com ...