540억 과징금 KT, '미신고·조사 방해' 추가 제재 가능성

초소형 기지국 '펨토셀' 관리 부실로 540억 원의 과징금을 부과받은 KT가 악성코드 감염 사고를 신고하지 않고 로그까지 삭제한 정황과 관련해 추가 제재를 받을 가능성이 제기됐다. 개인정보보호위원회는 수사를 통해 새로운 사실이 확인되면 별도 처분에 나서겠다고 밝혔다.

악성코드 감염 숨기고 로그 삭제…추가 제재 가능성개인정보위원회 양청삼 사무처장은 30일 서울 종로구 정부서울청사에서 열린 KT 사건 브리핑에서 "악성코드 사건은 아직 종료되지 않았다"며 "고발과 수사를 통해 새로운 사실이 확인되면 별도의 처분이 이뤄질 예정"이라고 밝혔다.

이정은 조사2과장도 "아직 조사가 완료된 단계는 아니며 고발을 통해 추가 사실관계를 확인할 예정"이라고 말했다.

개인정보위에 따르면 KT는 2024년 3월 악성코드 감염 사실을 인지하고도 정부에 침해 사실을 신고하지 않았다. 개인정보 유출 여부를 확인하기 위한 정밀 분석도 하지 않은 채 자체 조치한 것으로 조사됐다.

또 2025년 4월 서버 전수점검 과정에서는 침해가 발생한 서버 10대의 로그를 삭제하는 등 사고를 은폐한 정황도 확인됐다.

KT는 개인정보위 조사 초기 감염 서버 관련 자료가 남아 있지 않다고 진술했다. 그러나 개인정보위가 디지털포렌식을 통해 로그 삭제 정황을 확인하자 진술을 번복하고, 별도로 보관하던 로그를 뒤늦게 제출했다.

개인정보위는 KT가 거짓 자료를 제출하고 진술을 번복하는 등 조사를 실질적으로 방해했다고 보고 수사기관에 고발하기로 했다. 이번 고발은 악성코드 감염에 따른 개인정보 유출 자체가 아니라 감염 사실 미신고와 로그 삭제, 거짓 자료 제출 등 조사 방해 행위에 대한 조치다. 개인정보보호법 위반 여부는 수사와 추가 조사 결과에 따라 별도로 판단할 예정이다.

11개월간 통신망 뚫렸는데 몰랐다…과징금 540억원
KT의 악성코드 감염 미신고와 로그 삭제 정황은 '펨토셀 해킹' 사건을 조사하는 과정에서 드러났다. 펨토셀은 가정이나 사무실, 지하 등 이동통신 음영지역의 통화 품질을 개선하기 위해 설치하는 초소형 기지국으로 KT가 직접 설치·관리하는 장비다.

개인정보위 조사 결과, 해커는 유실된 KT 펨토셀에서 인증서를 빼낸 뒤 이를 자체 제작한 펨토셀에 심어 KT 망에 접속했다. 이후 단말기와 KT 망 사이를 오가는 정보를 가로챈 뒤 별도로 확보한 이름·성별·생년월일 등 개인정보와 결합해 무단 소액결제를 진행했다.

해커는 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월 동안 KT 내부망에 접속했다. 이 과정에서 KT 이용자 1만 6647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐고, 368명은 모두 2억 4천만 원 상당의 소액결제 피해를 입었다.

개인정보위는 KT가 정보통신망을 통한 불법 접근과 침해사고를 막기 위한 안전조치 의무를 위반했다고 판단해 과징금 539억 7900만 원과 시정명령, 개선권고, 처분 사실 공표명령을 내렸다.

법정 상한 추정치의 28%…SKT보다 낮은 이유는개인정보보호법은 개인정보 유출 사고에서 안전조치 의무 위반이 확인되면 전체 매출액의 3% 범위에서 위반행위와 관련 없는 매출을 제외한 금액을 기준으로 과징금을 산정하도록 규정하고 있다.

KT의 경우 2022~2024년 무선서비스 부문 연평균 매출은 약 6조 4463억 원으로 추산돼 단순 계산한 과징금 상한은 약 1930억 원이다. 실제 부과액은 이 추정치의 약 28% 수준이다.

지난해 SK텔레콤에 부과된 과징금은 1347억 9100만 원이었다. 2024년 무선통신사업 매출을 기준으로 한 업계의 법정 상한 추정치인 3831억 원의 약 35% 수준이다.

개인정보위는 과징금 규모 차이에 대해 위반행위의 중대성 평가가 달랐기 때문이라고 설명했다. KT 사건은 '매우 중대한 위반'보다 한 단계 낮은 '중대한 위반'으로 판단했다는 것이다.

개인정보위는 "SK텔레콤은 인증정보가 유출됐고 피해 규모도 2천만 명을 넘었다"며 "이번 사건과는 차이가 있다"고 설명했다. 실제 금전 피해가 발생한 점은 중대하게 보면서도 피해자 수가 상대적으로 적고 피해 보상과 시정조치가 신속하게 이뤄진 점 등을 종합적으로 고려해 과징금을 산정했다고 덧붙였다.

과징금은 KT의 5G와 LTE 이동통신 매출을 기준으로 산정됐다. 펨토셀은 주로 LTE 서비스에 사용되지만, 5G 설비가 충분하지 않은 지역에서는 5G 이용자도 LTE망을 함께 이용하는 점이 반영됐다.

KT는 이날 제재에 대해 "개인정보위 처분 결과를 무겁게 받아들이며 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점을 다시 한번 고개 숙여 깊이 사과드린다"며 "재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 밝혔다. ...