개보위 "KT 악성코드 유출 밝혀지면 추가 제재"[일문일답]

[서울=뉴시스]윤정민 기자 = 정부가 초소형 기지국(펨토셀)을 통한 개인정보 유출 사고로 KT에 540억원대 과징금을 부과했다. 하지만 서버 악성코드 감염에 따른 유출 사건은 수사 결과에 따라 별도로 추가 제재할 가능성을 열어뒀다.

양청삼 개인정보보호위원회 사무처장은 30일 오전 정부서울청사에서 열린 브리핑에서 "이번 KT 제재는 펨토셀을 통한 무단 소액결제 사건에 대한 처분"이라며 "악성코드 사건은 아직 남아 있다. 수사와 고발을 통해 새로운 사실이 확보되면 별도로 처분할 예정"이라고 밝혔다.

개인정보위는 이날 KT에 과징금 539억7900만원을 부과했다고 밝혔다. 개인정보위에 따르면 불법 펨토셀 사고로 이용자 1만6647명의 전화번호와 식별정보가 유출됐다. 이 가운데 368명이 약 2억4000만원의 무단 소액결제 피해를 입었다.

하지만 KT를 둘러싼 또 다른 축인 서버 악성코드 감염 사건은 아직 조사가 끝나지 않았다. 해커가 KT 로밍 웹사이트의 허점을 노려 서버 38대를 악성코드에 감염시킨 사건이다.

이 과정에서 관리자 페이지가 공격받아 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보가 유출됐다.

다만, 사고 당시 로그 부족과 일부 로그 삭제로 정확한 유출 범위와 경위를 확정하지 못한 상태다. 개인정보위는 행정조사만으로는 증거 확보에 한계가 있다고 보고 수사를 통해 추가 사실관계를 확인하기로 했다.

다음은 양 사무처장과 개인정보위 주요 관계자들의 주요 일문일답.

-이번 과징금 539억7900만원에 KT 악성코드 감염 사건도 포함됐나.

"(양청삼 사무처장, 이하 '양') 이번 제재 처분은 펨토셀을 통한 무단 소액결제 사건에 대한 것이다. 악성코드 사건은 아직 남아 있다. 행정 조사만으로 확보할 수 있는 증거에 한계가 있어 수사 의뢰와 고발 조치를 진행했다. 새로운 사실이 확보되면 별도로 처분할 예정이다."

-악성코드 감염 사건 조사가 끝난 것이 아니라는 뜻인가.

"(양) 현재 보류된 상태다. 전날 전체회의에서는 악성코드 감염 사건 자체에 대한 처분이 아니라 조사 방해 행위에 대한 고발을 의결했다. 새로운 사실이 확인되면 별도 처분할 예정이다."

-과학기술정보통신부 민관합동조사단에서는 악성코드 감염 서버를 통한 개인정보 유출이 확인되지 않았다고 발표했다. 개인정보위는 유출 정황을 확인한 것인가.

"(이정은 조사2과장, 이하 '이') 과기정통부 민관합동조사단 발표 당시에는 악성코드 감염 사실은 확인됐지만 개인정보 유출은 추가로 확인되지 않았다고 발표한 것으로 알고 있다. 개인정보위가 이후 조사를 이어가는 과정에서 당시 서버에 SQL 삽입 공격이 있었고 그 과정에서 일부 개인정보가 유출된 사실은 확인했다."

-그렇다면 악성코드 감염에 따른 개인정보 유출 규모와 범위까지 확정된 것인가.

"(이) 아직 조사를 완료한 단계는 아니다. 고발을 통해 추가적인 사실관계를 확인할 예정이다."

-수사에서 새로운 개인정보 유출이 드러나면 KT에 다시 과징금을 부과할 수 있나.

"(양) 수사와 고발을 통해 새로운 실체나 사실이 발견되면 이를 토대로 다시 조사하고 제재까지 이어갈 수 있다."

-이번 펨토셀 사고에서 실제 금전 피해가 발생했는데도 SK텔레콤보다 과징금이 적은 이유는 무엇인가.

"(양) 2차 피해가 발생했다는 점은 위원들이 굉장히 심각하게 봤다. 다만 다른 통신사 사례와 비교하면 확인된 유출 규모가 상대적으로 작았고 유출된 정보도 휴대전화번호와 IMSI, IMEI 등 3종이었다. 피해 보상과 시정조치가 신속하게 이뤄진 점도 종합적으로 고려했다."

-두 사건의 위반행위 중대성 등급에도 차이가 있나.

"(양) SK텔레콤은 '매우 중대한 위반', KT는 '중대한 위반'으로 판단했다. KT는 실제 2차 피해가 발생했다는 점을 중요하게 봤지만 유출 규모와 정보 유형에서 차이가 있었다. SK텔레콤은 2300만명 이상의 정보와 유심 인증정보가 유출됐지만 KT는 1만6647명의 전화번호와 IMSI, IMEI가 유출됐다."

-과징금 산정 대상 매출은 어떻게 정했나.

"(양) KT의 무선통신 매출을 기본으로 삼았다. 펨토셀은 LTE에서 기본적으로 사용되는 장비이고 5G 서비스도 인프라가 충분하지 않은 곳에서는 LTE망을 함께 이용한다. 이에 LTE와 5G 서비스 매출을 모두 고려했다. 구체적인 관련 매출액과 가중·감경 수치는 의결서가 확정되면 공개할 예정이다."

◎공감언론 뉴시스 alpaca@newsis.com ...