KT, 1만 6647명 정보 유출에 과징금 539억…결국 법인 '고발' 조치까지

KT는 "전례 없는 신유형의 사고로 예측이 불가능했다"고 항변했지만, 개인정보보호위원회 판단은 달랐다. 소형기지국을 제대로 관리하지 않고 내부망 출입을 통제하지 못해 벌어진, 충분히 막을 수 있었던 사고로 봤다.

전체회의는 지난 29일 열렸다. 결론은 과징금 539억 7900만 원. 여기에 시정명령과 개선권고, 공표명령도 내려졌다.

KT 내부망은 어떻게 뚫렸나

시작은 어디론가 사라진 소형기지국 하나였다. 해커는 그 펨토셀에 들어 있던 인증서를 복사해, 직접 만든 불법 기지국에 심었다.

이 장비를 KT 이동통신망에 물리자 이용자 휴대전화와 KT 내부망을 오가는 정보가 손에 들어왔다.

여기에 이름과 생년월일처럼 따로 구한 정보를 붙여 소액결제를 걸었다. 결제 승인에 필요한 인증 문자와 자동응답(ARS)까지 중간에서 낚아채자 결제는 통과됐다.

빠져나간 건 알뜰폰 가입자를 포함한 16,647명의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI)다. 이 가운데 368명이 2억 4000만 원어치 소액결제 피해를 입었다.

KT가 처음 신고한 인원은 22,227명이었다. 개인정보위는 법인 명의와 여러 회선을 쓰는 중복을 걷어내고 실제 정보주체를 16,647명으로 다시 셌다.

관리 부실 실체는 분명했다. 인증서 유효기간은 10년으로 지나치게 길게 설정돼 있었고, 접속 가능한 IP도 별도로 제한하지 않았다. 그 결과 다른 통신사나 해외 IP에서도 내부망에 접속할 수 있는 상태였다.

관리서버를 건너뛰고 내부망으로 바로 들어가는 길도 남아 있었다. 기지국에 부여하는 식별자인 셀 아이디도 관리가 허술해, 허가받지 않은 접속을 잡아낼 장치가 없었다.

해커가 내부망을 드나든 기간은 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월이다. KT는 소액결제 피해 민원이 들어온 뒤에야 이상 접속을 알아챘다.

로그부터 지웠다…뒤늦게 드러난 은폐

2025년 4월, 정부가 악성코드 감염 여부를 전수 점검하면서 KT가 침해 서버 10대의 기록을 지운 사실이 드러났다.

조사 초기 KT는 남아 있는 자료가 없다고 했다. 그러나 디지털포렌식으로 삭제 흔적이 잡히자 말을 바꿨고, 따로 갖고 있던 기록을 그제야 내놓았다. 개인정보위는 이를 조사 방해로 보고 KT 법인을 고발하기로 했다.

과징금이 매출 0.82%에 그친 이유

개인정보보호법상 과징금은 전체 매출액의 3%를 넘지 않는 범위에서 부과한다. 과징금을 산정할 때 위반행위와 관련 없는 매출액은 제외한다.

그래서 기준이 된 건 소액결제 피해가 난 5G·LTE 무선사업 매출이다. IPTV나 인터넷 같은 사업 매출은 계산에서 빠졌다.

KT 무선사업 3년 평균 매출은 약 6조 5000억 원이다. 이번 과징금은 그 가운데 0.82%에 해당한다.

내 정보도 유출됐다면 이렇게 확인하세요

이번에 유출된 건 KT·알뜰폰 이용자 16,647명의 정보다. 자신이 해당하는지는 통신사가 보낸 유출 통지를 확인해야 한다. 통지를 받지 못했더라도 소액결제 내역에 낯선 항목이 있다면 통신사 고객센터에 직접 확인하는 편이 안전하다.

소액결제 피해가 있다면 결제 내역과 문자메시지, 고객센터 상담 기록부터 남겨야 한다. 신고 시점과 피해 금액을 특정할 수 있는 자료일수록 이후 배상 청구에 유리하다.

예방 조치도 해둬야 한다. 통신사 고객센터나 앱에서 소액결제 차단이나 한도 설정을 신청할 수 있다. 명의도용방지서비스(Msafer)에서는 본인 명의로 개설된 통신 회선이 있는지 조회하고, 신규 가입을 제한해둘 수 있다.

손해 입증하지 않아도 배상받을 수 있다

개인정보처리자의 고의나 중대한 과실로 개인정보가 유출돼 피해가 발생했다면, 법원은 손해액의 5배를 넘지 않는 범위에서 배상액을 정할 수 있다. 징벌적 손해배상이다.

개인정보처리자가 고의·중과실이 없었다는 사실을 스스로 증명하지 못하면 이 책임을 피할 수 없다. 입증 부담이 기업 쪽에 있다는 뜻이다.

피해 규모를 구체적으로 입증하기 어렵다면 법정손해배상 제도를 쓸 수 있다. 정보주체는 손해액을 따로 증명하지 않고도 300만 원 이하 범위에서 상당한 금액을 배상으로 청구할 수 있다.