유출 규모는 SKT보다 작지만 실제 금전 피해·늑장 신고가 가중 변수
관련 매출 범위 따라 과징금 최대 1950억원…600억~700억원대 관측도
고객 보상·보안 투자 감경 가능성…통신업계 제재 기준 촉각

KT 광화문빌딩 웨스트 사옥. <출처=KT>

KT의 불법 초소형기지국(펨토셀) 해킹 사고에 대한 정부 제재 수위가 30일 공개된다. 개인정보 유출 인원은 SK텔레콤 유심 정보 해킹 사고보다 적지만, 무단 소액결제라는 실제 금전 피해가 발생한 데다 신고 지연과 보안 관리 부실까지 드러난 만큼 과징금 산정 결과에 통신업계의 이목이 쏠리고 있다.

30일 통신업계에 따르면 개인정보보호위원회는 전날 정부서울청사에서 전체회의를 열고 KT의 개인정보보호법 위반 여부와 과징금·과태료, 시정명령 등을 담은 제재안을 심의했다. 과징금을 포함한 구체적인 처분 내용은 이날 오전 발표될 예정이다.

KT에서는 지난해 9월 불법 펨토셀을 통한 해킹으로 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등 가입자 2만2227명의 개인정보가 유출됐다. 이 가운데 368명은 총 777건, 약 2억4300만원의 무단 소액결제 피해를 봤다.

공격자는 KT 펨토셀의 인증서와 서버 접속 정보를 복제한 불법 장비를 내부망에 연결한 뒤 강한 전파를 내보내 주변 이용자의 단말기를 접속시킨 것으로 조사됐다. 이후 전화번호 등을 탈취하고 상품권 구매 과정에서 전송되는 문자메시지와 자동응답전화 인증정보까지 가로채 결제를 진행했다.

과학기술정보통신부 민관합동조사단은 KT에 납품된 펨토셀들이 동일한 제조사 인증서를 사용해 인증서를 복사한 비정상 장비도 내부망에 접속할 수 있었다고 판단했다. 인증서 유효기간도 10년으로 설정돼 불법 장비가 장기간 접속할 수 있는 구조였던 것으로 파악됐다.

29일 서울 종로구 정부서울청사에서 열린 개인정보보호위원회 전체회의에서 송경희 위원장이 의사봉을 두드리고 있다. <출처=연합뉴스>

과징금 규모를 결정할 핵심 변수는 ‘위반 행위와 관련된 매출액’의 범위다. 현행 개인정보보호법은 관련 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정한다. KT의 최근 3개 사업연도 무선서비스 매출 평균은 약 6조5000억원으로, 법정 상한을 단순 적용하면 과징금은 최대 1950억원 수준이다.

다만 3%는 법정 상한일 뿐 실제 부과액은 관련 매출액의 범위와 위반행위의 중대성, 안전조치 의무 위반 수준, 피해 규모 등을 반영해 결정된다. 개인정보위가 이동통신망과 무선서비스 전체를 관련 사업으로 인정하면 산정 기준이 커지지만, 사고가 발생한 지역과 서비스·기간을 중심으로 범위를 좁히면 과징금도 크게 줄어들 수 있다.

KT는 이번 사고가 가입자 서버 전체가 공격받은 것이 아니라 수도권 일부 지역에서 불법 펨토셀을 통해 발생한 국지적 사고라는 점을 강조해왔다. 개인정보위 사전통지서에도 법인 회선과 중복 회선 등을 제외한 개인정보 유출 인원이 약 1만6000명으로 적시된 것으로 알려졌다. 유심 복제 등에 활용될 수 있는 유심 인증키가 유출되지 않았다는 점도 감경 사유로 거론된다.

앞서 개인정보위는 약 2324만명의 개인정보가 유출된 SK텔레콤에 과징금 1347억9100만원과 과태료 960만원을 부과했다. 이는 SK텔레콤 무선 매출액의 약 1%에 해당하는 수준이다. 같은 비율을 KT 무선서비스 매출에 적용하면 과징금은 600억~700억원대로 추산되지만, 단순 비교는 어렵다는 지적이다.

KT 사고는 개인정보가 실제 재산상 피해로 이어졌다는 점이 가장 큰 가중 요소다. 이상 통신 패턴을 확인하고도 당국 신고까지 시간이 걸린 점과 과거 악성코드 감염 서버 처리 과정에서 정부에 부정확한 자료를 제출한 정황도 내부 정보보호 거버넌스가 제대로 작동했는지를 판단하는 근거가 될 수 있다.

반면 KT가 사고 이후 피해 금액 보상과 유심 무상 교체, 위약금 면제 등 고객 보호 대책을 시행하고 정보보호최고책임자 직책 신설, 보안 전담 인력 확대, 제로트러스트 체계 강화 등의 재발 방지책을 내놓은 점은 감경 요소로 검토될 전망이다. KT는 향후 5년간 정보보호 분야에 1조원을 투자하겠다는 계획도 밝혔다.

통신업계 관계자는 “이번 결정은 KT 한 회사에 대한 처분을 넘어 개인정보 유출 인원과 실제 피해, 기업의 관리 책임과 사후 대응을 정부가 각각 어느 정도 비중으로 평가하는지를 보여주는 사례가 될 것”이라며 “향후 통신사의 보안 투자와 사고 대응 체계에도 적지 않은 영향을 미칠 것으로 보인다”고 말했다.

[CEO스코어데일리 / 김동일 기자 / same91@ceoscore.co.kr]