1,222 읽음
KT 무단 소액결제 해킹 제재 수위, 개인정보위 오늘 결정
디지털투데이
0
개인정보보호위원회는 29일 오후 전체회의를 열고 KT의 개인정보보호법 위반 여부와 과징금·과태료, 시정명령 등을 담은 제재안을 심의한다.
업계는 개인정보 유출 규모와 실제 피해, KT의 안전조치 의무 위반 정도를 과징금에 얼마나 반영하느냐를 쟁점으로 본다. 이번 과징금 결정이 KT의 향후 투자 기조에도 영향을 줄 수있는 만큼 업계도 촉각을 곤두세우고 있다.
◆제도 상한 적용하면 2000억원 육박…'관련 매출' 범위가 변수
현행 개인정보보호법은 위반 행위와 관련된 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정한다. 다만 실제 과징금 산정에서는 전체 매출액 가운데 위반 행위와 관련이 없는 매출액을 제외한다. KT의 최근 3년간 무선서비스 매출 평균은 약 6조5000억원이다. 이를 법정 상한인 3%에 단순 대입하면 최대 과징금은 1950억원 수준에 이른다.
다만 3%는 어디까지나 법정 상한이다. 첫 번째 쟁점은 개인정보위가 KT 매출 가운데 어느 범위까지 '위반 행위와 관련된 매출액'으로 인정할지다. 개인정보위가 사고 발생 기반인 이동통신망과 무선서비스 전체를 하나의 관련 사업으로 보면 과징금 산정의 모수가 커진다. 반대로 불법 펨토셀 접속이 확인된 가입자나 사고가 발생한 서비스·기간을 중심으로 관련성을 좁게 판단하면 기준 매출액이 줄어들 수 있다.
KT는 이번 사고가 가입자 서버 전체가 공격받은 SKT 사례와 달리 불법 펨토셀이 일부 지역에서 정보를 탈취한 국지적 사고라는 점을 강조하고 있다. 개인정보위가 앞서 KT에 보낸 사전통지서에는 법인 회선과 중복 회선 등을 제외해 개인정보 유출 인원이 약 1만6000명으로 적시된 것으로 전해졌다.
앞서 개인정보위는 SKT 사고와 관련해 이용자 2324만여명의 휴대전화번호와 가입자식별번호(IMSI), 유심 인증키 등 25종의 정보가 유출됐다고 판단하고 과징금 1347억9100만원을 부과했다. 방화벽 설정과 서버 계정 관리, 암호화, 악성프로그램 방지 등 이동통신 핵심 시스템의 안전조치가 전반적으로 미흡했다는 판단이었다.
유출 인원만 놓고 보면 KT 사고 규모는 SKT의 1000분의 1에도 미치지 않는다. KT로서는 피해 범위와 유출 정보 종류가 상대적으로 제한됐다는 점을 근거로 낮은 부과기준율과 감경을 요구할 수 있다. 관련 매출액을 무선서비스 전체로 잡더라도 위반의 중대성에 적용되는 비율까지 SKT와 동일하게 봐서는 안 된다는 논리다.
KT 사고에는 강화된 새 과징금 산정 기준이 소급 적용되지 않는다. 개인정보위는 올해 5월부터 직전 연도 매출액과 최근 3개 사업연도 평균 매출액 가운데 큰 금액을 과징금 산정 기준으로 사용하고, '매우 중대한 위반행위'에는 감경을 제한하도록 제도를 강화했다. 다만 개인정보위는 개정 규정 시행 전에 종료된 위반행위인 KT에는 종전 기준을 적용하기로 했다.
KT에 불리한 요소는 개인정보 유출이 실제 금전 피해로 이어졌다는 점이다. 정부 조사 결과 불법 펨토셀에 접속한 이용자 2만2227명의 IMSI와 단말기식별번호(IMEI), 전화번호가 유출됐다. 이 가운데 368명은 총 777건의 무단 소액결제로 약 2억4300만원의 피해를 봤다.
공격자는 불법 펨토셀에 KT 인증서와 서버 IP 정보를 복사해 내부망에 접속한 뒤 강한 전파를 내보내 이용자 단말기를 불법 장비에 연결했다. 이후 전화번호 등을 탈취하고 상품권 구매 과정에서 피해자에게 전송되는 문자메시지와 자동응답전화 인증정보까지 가로채 소액결제를 진행했다. 재산상 피해를 일으킨 만큼 개인정보위가 위반 결과를 중대하게 평가할 가능성이 있는 대목이다.
펨토셀 관리 체계도 과징금 가중 요인으로 거론된다. 앞서 민관합동조사단은 KT에 납품된 펨토셀이 동일한 제조사 인증서를 사용해 인증서를 복사한 비정상 장비도 KT 내부망에 접속할 수 있었다고 판단했다. 인증서 유효기간도 10년으로 설정돼 한 번 접속한 장비는 장기간 망 접속이 가능한 상태였다.
KT 서버 94대에서 BPF도어와 루트킷, 백도어 등 악성코드 103종이 발견된 사실도 변수다. 민관합동조사단은 전사적인 자산 관리와 보안장비 운영, 공급망 보안 체계 또한 미흡한 것으로 판단했다.
사고 신고와 정부 조사에 대응한 과정도 KT에 부담이다. KT는 2025년 9월 5일 무단 소액결제와 관련한 이상 통신 패턴을 발견해 차단했지만 불법 펨토셀 ID를 확인한 뒤인 9월 8일 오후에야 당국에 사고를 신고했다. 정부는 침해사고 인지 후 24시간 이내 신고 의무를 위반한 것으로 판단했다. 과거 악성코드 감염 서버와 관련해서도 실제 서버 폐기 시점을 정부에 다르게 제출하고 백업 로그 존재를 뒤늦게 보했다.
이 같은 신고 지연과 조사 대응 문제는 사고 자체와 별개로 KT의 내부 정보보호 거버넌스가 정상적으로 작동했는지를 판단하는 자료가 될 수 있다. 개인정보위가 관리·감독 책임을 중점적으로 평가할 경우 감경 효과가 제한될 가능성도 있다.
◆고객 보상·정보보호 투자, 감경 카드될 수도
KT는 사고 이후 피해 금액을 보상하고 전 고객 유심 무상 교체와 위약금 면제 조치를 시행했다. 올해 2월부터 8월까지 고객 보답 프로그램도 운영하고 있다. 피해 확산 방지와 피해자 보상 노력은 과징금 산정에서 감경 사유로 검토될 수 있다.
정보보호 투자 확대도 소명 자료로 활용될 전망이다. KT는 정보보호최고책임자(CISO) 직책 신설과 이사회 대상 보안 보고 정례화, 전담 인력 확대를 추진하고 향후 5년간 정보보호 분야에 1조원을 투자하겠다고 밝혔다. 제로트러스트 체계 확대와 통합 보안 관제 고도화, 접근 통제와 암호화 강화, 미사용 펨토셀 차단·회수 등도 재발 방지 대책에 포함했다. KT는 2025년 정보보호 부문에 1276억원을 투자해 4년 연속 연간 투자액 1000억원 이상을 유지했다고 설명했다.
재무적으로는 실제 과징금이 법정 상한에 근접할수록 부담이 커진다. KT의 2025년 별도 기준 영업이익은 1조3050억원, 연결 기준 영업이익은 2조4691억원이다. 과징금이 제도 상한선인 2000억원에 육박하면 지난해 별도 영업이익의 약 15%, 연결 영업이익의 약 8%에 해당한다.
일회성 비용이라는 점에서 회사의 재무 안정성을 흔들 수준은 아니지만 고객 보상과 유심 교체, 5년간 보안 투자에 과징금까지 더해지면 당기 손익과 현금흐름에는 적지 않은 부담이 될 수 있다.