KT 펨토셀 보안 허점에 539억7900만원 과징금

통신 신호를 보완하는 소형 기지국 한 대의 인증서가 불법 장비에 악용되면서 KT 이용자 1만6647명의 개인정보가 유출되고 2억4000만원 규모의 무단결제 피해로 이어졌다.

개인정보보호위원회는 29일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원을 부과했다고 30일 밝혔다. 시정명령과 개선권고, 공표명령도 함께 의결했다. 유출 피해자는 알뜰폰 가입자를 포함해 1만6647명이며, 이 가운데 368명이 약 2억4000만원의 무단 소액결제 피해를 입었다. 기존 집계 2만2227건에서 법인과 다중회선 등 중복을 제외해 실제 정보주체 수를 계산한 결과다.

펨토셀은 가정이나 사무실, 지하처럼 통신 신호가 약한 곳에서 품질을 높이는 소형 기지국이다. 조사 결과 해커는 분실된 KT 펨토셀에서 인증서를 꺼내 자체 제작한 불법 펨토셀에 심은 뒤 KT 이동통신망에 접근했다. 이용자 휴대전화가 불법 장비를 거치게 하고, 단말기와 KT 내부망 사이에서 오가는 통신 정보를 가로챘다.

해커는 확보한 정보에 이름과 성별, 생년월일 등 별도로 얻은 개인정보를 결합했다. 이어 결제 인증 문자메시지와 자동응답시스템을 탈취하는 방식으로 무단 소액결제를 진행했다.

개인정보위는 KT의 장비 관리와 내부망 접근 통제가 충분하지 않았다고 판단했다. 펨토셀 인증서의 유효기간은 10년이었고, 접속 가능한 인터넷주소인 IP를 제한하지 않아 타사나 해외 IP에서도 접근할 수 있었다. 펨토셀 관리서버를 우회하는 경로도 존재했다.

코어망 접속 때 장비를 구별하는 셀 아이디 관리도 부실했다. 허가되지 않은 셀 아이디의 이상 접속을 찾아 대응하는 체계가 제대로 마련되지 않아 해커는 별도 인증 없이 2024년 10월 8일부터 지난해 9월 5일까지 약 11개월간 내부망에 접속했다. KT는 소액결제 피해 민원이 나온 뒤에야 비정상 접속을 파악했다.

별도 악성코드 감염 사고 조사에서는 조사 방해 행위가 확인됐다. KT는 2024년 3월 보안 취약점을 통한 침입으로 서버 38대가 악성코드에 감염된 사실을 파악하고도 정부에 신고하지 않은 것으로 조사됐다. 임직원과 협력사 직원 일부의 이름, 전화번호, 계정 정보 등이 조회·유출된 정황도 나타났다.

KT는 지난해 4월 전수 점검 과정에서 침해 서버 10대의 로그를 삭제했다. 로그는 시스템에서 일어난 일을 시간순으로 기록한 자료다. 조사 초기에는 보존 자료가 없다고 진술했으나 디지털 포렌식에서 삭제 정황이 확인되자 진술을 바꾸고 별도 보관 로그를 제출했다. 개인정보위는 KT를 고발하고 무선통신망 장비 보안 강화와 개인정보 보호 체계 정비를 명령했다.

LG유플러스는 개인정보 유출 의혹과 관련된 서버의 운영체제를 조사 착수 전에 재설치하고 일부 서버를 폐기한 사실이 확인됐다. 개인정보위는 정확한 유출 경위와 추가 유출 여부를 확인하기 어려워졌다고 보고 수사기관에 수사를 의뢰하기로 했다.

자료: 개인정보보호위원회