개인정보보호위원회가 펨토셀 해킹 사고로 개인정보를 유출하고 이용자 피해를 낸 KT에 과징금 총 539억 7900만 원을 부과했습니다. 지난해 해킹 사고가 벌어진 지 열 달여 만에 나온 결론으로, 500억 원이 넘는 과징금이 매겨진 것은 단순한 개인정보 유출을 넘어 직접적인 금전 피해까지 발생했기 때문입니다.
위원회는 사고 당시 KT의 초소형 기지국인 펨토셀 관리 체계가 부실했다고 지적했습니다. 인가되지 않은 펨토셀이 KT 내부망에 손쉽게 접속할 수 있을 정도로 허술했고, 내부망에 접속하는 펨토셀에 대해 접속 IP를 제한하는 기본적인 조치조차 이뤄지지 않았다는 것입니다.
이 허점을 노려 해커는 펨토셀을 확보해 가짜 기지국을 만든 뒤, 무려 11개월 동안이나 KT 내부망을 자유롭게 드나들었습니다. 그럼에도 KT는 이 사실을 전혀 알아채지 못했고, 장기간에 걸친 침입이 방치되면서 피해가 커졌습니다.
해커의 수법은 치밀했습니다. 고객의 스마트폰이 무조건 이 가짜 기지국을 거치도록 조작한 뒤, 미리 빼돌린 고객의 이름과 생년월일 등을 이용해 소액결제를 시도했습니다. 여기에 그치지 않고 결제 과정에서 스마트폰으로 날아오는 인증 문자와 인증 전화까지 가로채 결제를 직접 승인해 버렸습니다.
그 결과 368명이 자신도 모르는 사이에 모두 2억 4천만 원어치의 소액결제 피해를 입은 것으로 파악됐습니다. 개인정보가 새어 나간 데 그치지 않고, 이용자들의 실제 지갑에 직접적인 손해로 이어졌다는 점이 이번 사안의 심각성을 키웠습니다.
다만 과징금 규모를 두고는 상대적으로 적다는 시각도 있습니다. 최근 개인정보 유출 사고를 낸 다른 기업들과 비교하면, SK텔레콤은 1300억 원대, 쿠팡은 6000억 원대의 과징금을 부과받은 바 있어 이번 KT의 과징금이 그에 못 미치는 수준이기 때문입니다.
개인정보위는 KT가 통신망을 허술하게 관리했을 뿐만 아니라, 조직적으로 조사를 방해하기까지 했다고 지적했습니다. 통신사가 관리하는 말단 장비의 보안 공백이 대규모 개인정보 유출과 금전 피해로 이어진 데다 사후 대응마저 도마에 오르면서, KT의 개인정보 보호 체계 전반에 대한 책임 논란이 이어질 전망입니다.