2차피해 발생한 KT 해킹…개인정보위, '중대한 위반' 판단

368명 무단 소액결제 피해…"위원들이 매우 심각한 요소로 평가"SKT보다 중대성 한 단계 낮아…유출 규모·인증정보 포함 여부 차이과징금 539억, 무선서비스 매출의 0.81%…악성코드 건 추가 처분 가능

[뉴스토마토 이지은 기자] 개인정보보호위원회가 불법 소형기지국인 펨토셀을 통해 개인정보가 유출된 KT(030200)의 위반행위를 중대한 위반으로 판단했습니다. 유출 규모는 지난해 SK텔레콤(017670) 사고보다 작았지만, 유출된 개인정보가 무단 소액결제로 악용돼 실제 2차 피해가 발생한 점을 중대하게 평가했습니다.

 

양청삼 개인정보위 사무처장은 30일 KT 개인정보 유출 사고 제재처분 관련 브리핑에서 "다른 통신사 유사 사례와 비교하면 확인된 유출 규모는 상대적으로 작았지만, 실제 2차 피해가 발생했다는 점을 위원들이 매우 심각한 요소로 판단했다"고 밝혔습니다.

 

양청삼 개인정보보호위원회 사무처장이 30일 정부서울청사에서 KT와 LG유플러스 개인정보 유출사고에 대한 조사 처분 결과에 대해 브리핑을 하고 있다. (사진=개인정보위)

 

KT에서는 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 3종의 개인정보가 1만6647명에게서 유출됐습니다. 유출된 정보는 이름과 생년월일 등 해커가 추가로 확보한 개인정보와 결합돼 휴대전화 소액결제에 악용됐고, 368명에게 총 2억4000만원의 피해가 발생했습니다.

 

개인정보위는 과징금 산정 과정에서 실제 금전 피해가 발생한 점을 핵심 요소로 검토했습니다. 위원회 내부에서도 2차 피해를 어느 수준까지 중대성 판단에 반영할지와 유출 정보의 성격을 어떻게 평가할지를 두고 논의가 이뤄진 것으로 전해졌습니다.

 

다만 KT의 위반행위는 지난해 SK텔레콤 개인정보 유출 사고보다 한 단계 낮은 중대한 위반으로 분류됐습니다. SK텔레콤 사고는 매우 중대한 위반으로 판단됐습니다.

 

개인정보위는 두 사건의 중대성 등급 차이가 유출 정보의 유형과 규모에서 비롯됐다고 설명했습니다. KT는 전화번호와 IMSI, IMEI 등 3종의 정보가 1만6647명에게서 유출된 반면, SK텔레콤은 유심 인증키를 비롯한 25종의 개인정보가 2324만4649명에게서 유출됐습니다.

 

양 사무처장은 "SK텔레콤은 인증정보가 유출됐고 피해 규모도 2000만명을 넘었다"며 "유출된 개인정보의 유형과 규모 차이가 중대성 판단에도 반영됐다"고 설명했습니다.

 

개인정보위는 KT에 과징금 539억7900만원을 부과했습니다. KT의 최근 3년간 무선서비스 관련 매출은 연평균 약 6조6689억원으로, 이번 과징금은 이를 단순 계산하면 약 0.81% 수준입니다. 다만 이는 최종 과징금을 연평균 무선서비스 매출과 단순 비교한 수치입니다. 개인정보위는 펨토셀이 LTE 기반 장비지만 5G 가입자도 5G 설비가 구축되지 않은 지역에서는 LTE망을 함께 이용하는 점을 고려해 LTE와 5G 무선서비스 매출을 관련 매출액으로 산정했습니다. 이후 위반행위의 중대성과 피해 규모, 유출 정보의 유형, 피해보상 및 시정조치 등을 종합적으로 반영해 최종 과징금을 결정했습니다.

 

한편 이번 과징금은 펨토셀을 통한 개인정보 유출과 무단 소액결제 피해에 대한 처분입니다. KT의 악성코드 감염과 서버 로그 삭제 의혹은 별도 조사 대상입니다. 개인정보위는 조사방해 행위와 관련해 KT를 고발했으며, 경찰 수사를 통해 새로운 개인정보 유출이나 위법 사실이 확인될 경우 추가 행정처분도 검토할 방침입니다. 

 

이지은 기자 [e-mail]

이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김충범 테크지식산업부장이 최종 확인·수정했습니다.