2.2만명 정보 유출에 금전 피해까지…KT 과징금 수위는?

개인정보보호위원회가 개인정보 유출과 무단 소액결제 피해가 발생한 KT 해킹 사고에 대한 제재 수위를 29일 결정한다. 업계에서는 KT에 부과될 과징금이 수백억 원대에서 많게는 1900억 원대에 이를 수 있다는 전망이 나온다.

KT, 2만 2천여 명 정보 유출…무단 소액결제 '억대' 피해도
개인정보위는 이날 오후 전체회의를 열어 KT의 개인정보보호법 위반 여부와 과징금·시정명령 등 제재 내용을 담은 처분안을 심의할 예정이다.

앞서 SK텔레콤과 쿠팡의 대규모 개인정보 유출 사건이 전체회의 심의 당일 의결된 점을 고려하면 KT에 대한 처분도 이날 확정될 가능성이 크다. 다만 위원들이 사실관계나 과징금 산정 기준에 대한 추가 검토가 필요하다고 판단하면 의결이 다음 회의로 미뤄질 수 있다.

이번 사건은 지난해 9월 수도권 일부 지역에서 불법 소형 기지국인 '펨토셀'을 악용한 공격으로 시작됐다. 펨토셀은 통신 음영지역이나 실내에서 통신 품질을 높이기 위해 설치하는 초소형 기지국이다.

공격자는 불법 펨토셀을 KT 내부망에 접속시킨 뒤 주변 이용자의 휴대전화를 가짜 기지국에 연결하는 방식으로 전화번호와 국제이동가입자식별번호(IMSI), 단말기식별번호(IMEI) 등을 빼낸 것으로 조사됐다.

과학기술정보통신부 민관합동조사단 조사 결과 불법 펨토셀에 접속한 KT 이용자 2만 2227명의 개인정보가 유출됐다. 이 가운데 368명은 모두 777건, 약 2억 4300만 원 규모의 무단 소액결제 피해를 본 것으로 확인됐다. 개인정보 유출이 단순 노출에 그치지 않고 실제 금전 피해로 이어졌다는 점은 과징금 수위를 높일 수 있는 요인으로 꼽힌다.

펨토셀 사고와 별개로 KT 서버 94대에서 'BPF도어'를 비롯한 루트킷과 백도어 등 악성코드 103종이 발견된 사실도 제재안에 반영될 가능성이 있다. 일부 감염 서버에는 이름과 전화번호 등 개인정보가 저장돼 있었다. 개인정보가 외부로 빠져나간 정황은 확인되지 않았지만, 개인정보위는 악성코드 방지와 접근통제 등 안전조치 의무를 제대로 이행했는지를 별도로 판단할 수 있다.

법정 상한 1900억 원대 추산…실제 부과액은 변수
KT 개인정보 유출 사고 당시 적용되던 개인정보보호법에 따르면 안전조치 의무 위반 등이 확인될 경우 전체 매출액의 최대 3%까지 과징금을 부과할 수 있다. 다만 위반행위와 관련이 없는 매출액은 산정 대상에서 제외된다.

이후 개정된 개인정보보호법은 반복적이거나 중대한 개인정보 침해에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 규정을 강화했다. 개정법은 오는 9월 11일부터 시행되는 만큼 이번 KT 사건에는 적용되지 않는다.

업계에서는 KT의 별도 기준 무선사업 부문 2022~2024년 평균 매출을 약 6조 4463억 원으로 추산한다. 여기에 법정 상한인 3%를 단순 적용하면 과징금은 약 1930억 원에 달한다. 무선서비스 매출 등 다른 범위를 적용한 일부 추산에서는 상한액으로 2천억 원 안팎까지 거론된다.

다만 1900억원대는 무선사업 매출에 법정 최고 비율을 단순 적용한 이론상 상한이다. 실제 과징금은 개인정보위가 KT 전체 매출 가운데 어느 범위까지 위반행위와 관련이 있다고 판단하는지에 따라 크게 달라질 수 있다.

위반행위의 중대성과 기간, 유출된 개인정보의 종류와 규모, 2차 피해 발생 여부, 회사의 피해 확산 방지와 피해 회복 노력 등도 과징금 산정에 반영된다. KT가 피해자 보상과 재발 방지 조치에 나선 점은 감경 요인이 될 수 있다.

반면 통신망 핵심 설비인 펨토셀의 생산·납품·인증 과정에 대한 관리가 부실했고 불법 장비의 내부망 접속을 막지 못했다는 점은 불리하게 작용할 가능성이 크다. 유출된 개인정보가 무단 소액결제 범죄에 악용돼 실제 금전 피해로 이어졌다는 점도 가중 요인으로 평가될 수 있다.

SKT·쿠팡 사례가 가늠자…금전 피해 발생한 KT는
앞선 SK텔레콤 사례도 주요 비교 기준이다. 개인정보위는 지난해 SK텔레콤이 이동통신 핵심 네트워크와 시스템의 보안 관리를 소홀히 해 2324만여 명의 유심 정보 등이 유출됐다며 과징금 1347억 9100만 원과 과태료 960만원을 부과했다. 업계에서는 당시 과징금이 SK텔레콤 이동통신 관련 매출의 약 1% 수준이었던 것으로 보고 있다.

KT에 같은 비율을 단순 적용하면 과징금은 600억~700억 원대로 추산된다. 다만 KT 사고는 SK텔레콤보다 개인정보 유출 규모는 훨씬 작지만, 유출 정보가 범죄에 악용돼 직접적인 금전 피해가 발생했다는 차이가 있다.

이에 따라 개인정보위가 유출 인원보다 피해의 구체성과 통신망 관리 부실을 얼마나 무겁게 평가할지가 관건이다.

쿠팡의 경우 개인정보 유출과 이용자 활동기록 무단 수집 등의 위반행위를 합쳐 모두 6246억 8100만 원의 과징금이 부과됐다. 이는 쿠팡 e커머스 부문 매출의 1.8% 수준이다.

이 가운데 약 3755만 명의 개인정보 유출을 초래한 '안전조치 의무 위반'에 부과된 과징금은 4235억 7500만 원이었다. 나머지 약 2011억 원은 이용자 1117만 명의 외부 웹·앱 활동기록을 법적 근거 없이 수집한 행위 등에 부과됐다.

따라서 쿠팡의 전체 과징금 6246억원을 KT 사건과 그대로 비교하는 것은 적절하지 않다는 시각도 있다.

쿠팡의 개인정보 유출 관련 과징금 비율을 KT 무선사업 매출에 단순 적용하면 약 900억 원으로 산출된다. 개인정보위가 KT의 실제 금전 피해와 보안 관리 부실을 얼마나 중대하게 판단하느냐에 따라 과징금이 1천억 원을 넘어설 가능성도 배제하기 어렵다.

일각에서는 개인정보위가 SK텔레콤과 쿠팡에 잇따라 대규모 과징금을 부과한 만큼, 이번 KT 사건에서는 사고 규모와 실제 피해, 사업자의 보안조치 수준을 어떤 비중으로 반영할지가 핵심 관전 포인트라는 관측이 나온다. 사건별 차이를 반영하면서도 제재 기준의 일관성과 형평성을 확보해야 하기 때문이다.

특히 KT 사건은 개인정보 유출 인원이 SK텔레콤과 쿠팡보다 적은 대신 실제 금전 피해가 발생했다. 개인정보위가 이런 사건에 어떤 제재 기준을 적용하느냐는 향후 통신사 해킹 사고의 과징금 수위를 가늠할 선례가 될 전망이다. ...