사진:연합

1인당 과징금 KT 324만원…SKT 5800원·쿠팡 1만6600원과 격차
악성코드 감염 미신고·로그 삭제까지 확인…KT 행정소송 가능성도

[대한경제=심화영 기자] KT가 개인정보 유출 사고로 540억원에 육박하는 과징금을 맞았다. 유출된 개인정보 자체는 1만6000여명으로 SK텔레콤과 쿠팡에 비해 훨씬 적지만, 단순 정보 유출을 넘어 실제 소액결제 피해가 발생했고 과거 침해사고를 신고하지 않은 데다 조사 과정에서 로그 삭제와 자료 제출 번복까지 드러난 것이 제재 수위를 끌어올린 것으로 분석된다.

개인정보보호위원회는 지난 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원과 시정명령, 개선권고, 공표·공표명령을 의결했다. 

조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 자체 제작한 불법 펨토셀에 심어 KT 이동통신망에 접속한 뒤, 이용자 단말과 내부망 사이를 오가는 통신 정보를 가로챘다. 

이후 확보한 정보에 이름, 생년월일 등 추가로 확보한 개인정보를 결합해 소액결제를 시도하고 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취하는 방식으로 무단 결제를 한 것으로 조사됐다. 이 과정에서 알뜰폰 가입자를 포함한 이용자 1만6647명의 휴대전화번호, 국제모바일가입자식별번호(IMSI), 단말기 식별번호(IMEI)가 유출됐고, 총 368명이 약 2억4000만원의 무단 소액결제 피해를 봤다.

SKT·쿠팡과 비교하면…유출자 1인당 과징금은 KT가 압도적

이번 과징금 액수 자체는 앞선 사례들보다 작다. 개인정보위는 지난해 유심 정보 해킹으로 약 2324만명의 개인정보가 유출된 SK텔레콤에 1348억원을, 올해는 쿠팡에 역대 최대인 6246억8100만원을 부과한 바 있다. 언뜻 보면 KT의 제재가 상대적으로 가벼워 보인다.

그러나 유출 인원 대비로 환산하면 얘기가 달라진다. KT의 과징금을 피해자 1인당으로 나누면 약 324만원에 달하는데, 이는 SK텔레콤(1인당 약 5800원)의 560배, 쿠팡(1인당 약 1만6600원)의 195배 수준이다. 개인정보위가 과징금을 산정할 때 단순 유출 인원보다 위반 행위의 중대성과 관련 매출액을 중심으로 판단한 결과로 풀이된다. 특히 KT는 개인정보 유출이 실제 금전 피해로 이어진 사례라는 점에서 위원회가 심각성을 크게 봤다는 설명이다.

과징금 산정만 놓고 보면 KT의 무선 서비스 매출(약 7조원)에 법정 상한(3%)을 단순 적용할 경우 과징금은 약 2000억원까지 나올 수 있었지만, 실제 부과액은 이보다 크게 낮은 540억원 선에서 결정됐다. 사고와 무관한 IPTV 등 유선 매출을 제외하고, 사고가 발생한 5G·LTE 무선 매출만을 기준으로 삼은 결과다. 위원회는 이와 함께 통신설비 전반의 보안 점검과 내부망 접근 통제 강화를 명령했고, 개인정보 보호책임자(CPO)의 권한과 책임을 명확히 하는 재발 방지책을 3개월 내 보고하도록 했다.

KT “의결서 검토 후 법적 대응 결정”…행정소송 가능성

KT는 일단 개인정보위 처분을 수용한다는 입장이다. 다만 과징금에 대한 법적 대응 가능성은 열어뒀다. KT는 “개인정보보호위원회의 처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”며 “개인정보 보호 체계 전반을 원점에서 재정비하고 보안 투자를 확대하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 밝혔다.

법적 대응 여부에 대해서는 “의결서를 수령하는 대로 내용을 면밀히 검토한 후 관련 입장을 정할 예정”이라고 했다. 형사고발과 관련해서는 “향후 조사가 시작되면 정해진 절차에 따라 조사에 성실히 임하겠다”고 밝혔다.

KT가 행정소송에 나설 경우 핵심 쟁점은 과징금 산정 과정에서 관련 매출액이 적정하게 산정됐는지, 실제 소액결제 피해와 개인정보 유출 사이의 인과관계를 어느 정도 인정할 수 있는지 등이 될 전망이다. 앞서 1348억원의 과징금을 부과받은 SK텔레콤도 처분 취소 소송을 제기한 상태다.

다만 KT가 과징금 자체보다 더 부담스러운 대목은 형사고발이다. 개인정보위가 문제 삼은 것은 해킹을 당했다는 사실이 아니라 침해사고를 신고하지 않고 로그를 삭제했으며, 조사 과정에서 자료 제출과 진술을 번복했다는 행위이기 때문이다.

LG유플러스도 고발 수순…통신 3사 모두 조사 대상

이날 개인정보위는 지난해 8월 개인정보 유출이 발생한 LG유플러스에 대해서도 별도 조치를 내놨다. 사고 이후 서버를 폐기하고 운영체제(OS)를 재설치해 조사 자체가 불가능한 상황을 만들었다는 이유로 수사기관에 수사를 의뢰하기로 했다. 이로써 SK텔레콤, KT, LG유플러스 등 통신 3사가 모두 개인정보 유출 사고와 관련한 제재 또는 수사 절차를 밟게 됐다.

이밖에 CJ ENM 산하 OTT ‘티빙’도 대규모 개인정보 유출 사고가 발생해 과학기술정보통신부 주도의 민관합동조사단이 침투 경로와 유출 규모, 정보보호 관리체계를 들여다보고 있다. 조사단은 오는 8월 경 조사 결과를 발표할 예정이다.

심화영 기자 dorothy@

〈ⓒ 대한경제신문(www.dnews.co.kr), 무단전재 및 수집, 재배포금지〉