KT 개인정보 유출 과징금 540억원…LGU+ 증거인멸 수사의뢰

개인정보보호위원회가 펨토셀 관리 부실로 개인정보 유출 사고를 일으킨 KT에 539억 7900만원의 과징금을 부과했다. 악성코드 감염 사고를 은폐하고 조사 과정에서 거짓 자료를 제출하는 등 조사를 방해한 혐의로 KT를 고발하기로 했다.

아울러 LG유플러스는 개인정보 유출 의혹과 관련해 조사 착수 전 서버를 재설치 및 폐기 행위가 확인돼 경찰에 수사를 의뢰했다.

개인정보위는 29일 제15회 전체회의를 열어 개인정보보호법을 위반한 KT에 과징금 539억 7900만원과 시정명령, 처분사실 공표 명령을 의결했다.

KT 조사 과정에서 거짓 자료를 제출하고 자료를 뒤늦게 제출하는 등 위원회 조사를 실질적으로 방해한 행위에 대해서는 고발하기로 결정했다.

조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 추출한 뒤 자체 제작한 펨토셀에 이를 삽입해 KT 이동통신망에 접속했다. 이후 이용자의 스마트폰이 해커가 만든 펨토셀을 경유하도록 유도해 단말과 KT 내부망 간 송수신 정보를 가로챘다.

해커는 이를 통해 확보한 개인정보와 추가 정보를 결합해 휴대전화 소액결제를 시도했고, 결제 인증번호가 포함된 문자메시지와 자동응답시스템 인증을 탈취하는 방식으로 부정 결제를 진행했다.

이 과정에서 KT 이용자와 알뜰폰 가입자를 포함한 1만 6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출됐다. 실제로 368명이 약 2억 4000만원 규모의 무단 소액결제 피해를 입은 것으로 조사됐다.

개인정보위는 사고 원인을 KT의 부실한 펨토셀 관리 체계에서 찾았다. 펨토셀은 이동통신 음영지역의 통화 품질을 개선하기 위해 설치하는 소형 기지국으로, KT 설치기사가 직접 설치하는 KT 자산이다. 이용자는 설치 장소를 제공할 뿐이며, 망 접속 승인과 인증, 내부망 접속 허용, 보안 통제 등은 모두 KT가 관리한다.

하지만 KT는 펨토셀 인증서 유효기간을 10년으로 장기간 설정했고, 내부망에 접속하는 펨토셀의 접속 IP를 제한하지 않아 해외나 타사 인터넷망에서도 접속이 가능하도록 운영했다. 또 펨토셀 관리 서버를 우회할 수 있는 경로가 존재했고, 코어망 접속 시 부여되는 셀 아이디에 대한 관리와 이상 접속 탐지 체계도 갖추지 않았다.

그 결과 해커는 별도의 추가 인증 없이 약 11개월 동안 KT 내부망에 접속해 개인정보를 탈취했지만 KT는 이를 인지하지 못했다. 개인정보위는 다수의 이용자가 소액결제 피해를 신고한 이후에야 KT가 비정상 접속을 식별한 것으로 확인됐다고 설명했다.

개인정보위는 KT가 대규모 개인정보를 처리하는 이동통신사업자임에도 정보통신망에 대한 기본적인 접근 통제와 침해 방지 의무를 소홀히 해 개인정보 보호법상 안전조치 의무를 위반했다고 판단했다.

별도의 악성코드 감염 사건도 드러났다. 개인정보위는 펨토셀 사고를 조사하는 과정에서 2024년 3월 KT IT서비스 네트워크 내 서버 38대가 리눅스 백도어 악성코드인 'BPFDoor' 등에 감염된 사실을 확인하고 조사를 확대했다.

조사 결과 해커는 KT 로밍렌탈서비스 홈페이지 취약점을 이용해 내부망에 침투한 뒤 악성코드를 설치했고, 관리자 페이지에 대한 SQL 삽입 공격을 통해 KT 임직원과 협력사 직원 일부의 이름과 전화번호, 계정 정보 등을 조회·유출한 정황도 확인됐다.

다만 사고 발생 당시의 로그가 상당수 남아 있지 않아 이용자 개인정보의 추가 유출 여부는 확인하지 못했다. 개인정보위는 KT가 2024년 악성코드 감염 사실을 인지했음에도 정부에 침해 사실을 신고하지 않았고, 자체 조치만 진행했다고 밝혔다.

또 2025년 다른 통신사의 개인정보 유출 사고 이후 자체 점검 과정에서 일부 감염 서버의 로그를 삭제하는 등 침해 사실을 은폐한 정황도 확인됐다고 설명했다. 조사 착수 전 로그 삭제 정황이 드러나자 별도로 보관 중이던 로그를 뒤늦게 제출한 것으로 조사됐다. 개인정보위는 이를 조사 방해 행위로 판단해 고발하기로 했다.

개인정보위는 LG유플러스에 대해서도 강경 대응에 나섰다.

지난해 8월 미국 보안 전문지 '프랙'을 통해 LG유플러스 개인정보 유출 의혹을 인지하고 조사에 착수했다. 조사 결과 유출된 임직원과 협력사 직원의 이름과 계정 정보는 LG유플러스의 통합 비밀번호 관리 시스템(APPM)에 저장된 실제 정보로 확인됐다.

그러나 LG유플러스는 개인정보위 조사 착수 전에 APPM 서버 등의 운영체제를 재설치하거나 관련 서버를 폐기한 것으로 나타났다. 개인정보위는 이로 인해 정확한 침해 경위와 추가 유출 여부를 확인하기 어려워졌다고 보고, 공무집행방해 혐의가 있다고 판단해 수사기관에 수사를 의뢰하기로 했다.