개인정보보호위원회(이하 개인정보위)는 KT에 대해 539억7900만 원의 과징금을 부과하고 고발 조치하기로 결정했다. 해당 결정은 KT의 개인정보 보호법 위반 사항과 조사 과정에서 나타난 허위 진술을 바탕으로 이루어졌다.

지난해 여름, KT는 해커에 의해 차세대 소형 기지국인 펨토셀을 통해 고객 1만6647명의 개인정보가 유출되고, 약 2억4000만 원 규모의 무단 소액결제가 발생하는 사건에 연루되었다. 해커는 분실된 KT 펨토셀에서 인증서를 훔쳐내어 자체 제작한 불법 기지국에 이를 심고, KT 통신망에 접속하였다.

이후 해커는 이용자 단말기의 통신 정보를 가로채고, 확보한 정보를 통해 소액결제를 시도한 것으로 확인되었다.KT의 보안 관리 체계에는 구조적 문제가 있었다.

특히, 펨토셀 인증서의 유효 기간을 10년으로 설정하고, 외부 IP의 전체 접속을 허용함으로써 해커의 침투를 용이하게 했다. 해커는 무려 11개월 동안 KT 내부망에 자유롭게 접근하며 개인정보를 탈취하였으나, KT는 고객의 소액결제 피해 민원이 제기된 후에야 비정상적인 접근을 탐지했다.

조사 과정에서 KT는 악성코드 감염 사실을 은폐하고 관련 로그를 삭제한 정황도 드러났다. 개인정보위는 KT가 서버 38대가 악성코드에 감염되었음에도 이를 정부에 신고하지 않고 자체적으로 조치를 취한 것으로 보고, 이와 관련된 사항을 수사기관에 고발하기로 했다.

이번 과징금은 KT의 5G 및 LTE 이동 통신 매출을 기준으로 산정되었으며, IPTV와 같은 다른 매출은 제외되었다. 개인정보위는 KT에 대해 보안 강화, 내부망 접근 통제 강화 및 개인정보 보호 책임자의 권한과 책임을 명확히 하라는 시정명령을 내렸다.

KT는 이 사태에 대한 책임을 깊이 깨닫고 있으며, 보안 체계를 전면적으로 재정비하고 투자를 확대하겠다고 밝혔다. 이번 사건은 통신업계의 보안 상황을 개선할 필요성을 절실히 드러내는 계기가 될 것이다.