KT가 보안 관리 소홀로 1만6000여 명의 개인정보를 유출한 혐의로 500억원대 과징금을 부과받았다. 개인정보보호위원회 조사 과정에서 거짓 자료 제출 등 조사 방해 정황도 확인돼 검찰 수사까지 받게 됐다.
개인정보위 조사 결과 KT는 펨토셀을 통한 이동통신 핵심 네트워크와 시스템 접근 통제를 제대로 관리하지 않아 1만6647명의 개인정보를 유출한 것으로 드러났다. 이 과정에서 문자메시지와 음성통화 내용까지 탈취된 것으로 조사됐다.
펨토셀은 KT가 무선통신 음영지역 해소를 위해 도입한 소형 기지국으로, KT가 운영 주체다. 하지만 KT는 펨토셀에 대한 기본적인 보안 관리를 소홀히 한 것으로 확인됐다.
인가받지 않은 펨토셀도 KT 내부망에 접속할 수 있었고, 내부망 접속 IP 제한도 제대로 이뤄지지 않았다. 타사 및 해외 IP를 통한 접근도 가능했으며, 비인가 셀 아이디(Cell ID)의 이상 접속을 탐지하는 체계도 마련되지 않았던 것으로 나타났다.
해커는 유실된 KT 펨토셀 인증서를 복사해 자체 제작한 펨토셀에 적용한 뒤 2024년 10월부터 약 11개월간 별도의 인증 절차 없이 해킹을 이어간 것으로 조사됐다. 이로 인해 368명에게 총 2억4000만원 규모의 소액결제 피해도 발생했다.
또 KT는 2024년 3월 IT 네트워크 서비스 서버에 악성코드가 감염된 사실을 확인하고도 개인정보 유출 여부를 충분히 조사하지 않은 채 자체 조치로 사건을 마무리한 혐의도 받는다.
당시 해커는 KT 로밍렌탈 서비스 홈페이지 내 취약점 이용해 서버를 감염 시키고, KT 임직원 및 협력사 일부직원의 개인정보를 유출했다.
특히 지난해 4월 정부의 악성코드 감염 전수 점검 과정에서는 과거 문제가 발생한 서버 일부 로그를 삭제하는 등 증거 은폐 정황도 확인됐다. 개인정보위는 이를 조사 방해 행위로 보고 KT 법인을 고발하기로 했다.
개인정보위는 LG유플러스가 지난해 9월 해킹 사실을 인지한 뒤 관련 서버 운영체제를 재설치하고 폐기한 행위에 대해서도 수사기관에 수사를 의뢰했다.
허정은 기자
bnt뉴스 라이프팀 기사제보 life@bntnews.co.kr
