개인정보보호위원회가 KT의 소형 기지국인 펨토셀 관리 소홀로 고객 개인정보가 유출됐다고 판단했습니다. 통신망 곳곳에 설치되는 소형 장비의 보안이 허술하게 관리되면서 대규모 정보 유출로 이어졌다는 것으로, 이동통신 이용자들의 불안이 커지고 있습니다.
펨토셀은 건물 안이나 음영 지역의 통신을 보완하기 위해 설치되는 소형 기지국입니다. 개인정보위의 조사 결과, 해커는 바로 이 펨토셀에서 인증서를 빼낸 뒤 이를 자체 제작한 펨토셀에 심는 방식으로 공격에 활용한 것으로 파악됐습니다. 정상 장비에서 탈취한 인증 수단이 공격의 열쇠가 된 셈입니다.
해커는 이렇게 확보한 인증서를 이용해 지난 2024년부터 약 11개월 동안 KT 내부망에 접속하며 정보를 가로챈 것으로 조사됐습니다. 짧은 순간의 침입이 아니라 장기간에 걸쳐 내부망을 드나들었다는 점에서, 침해가 상당 기간 방치됐을 가능성이 제기됩니다.
이 과정에서 KT 고객 1만 6천여 명의 휴대전화번호와 가입자 식별 번호 등이 유출된 것으로 확인됐습니다. 단순한 접속 기록을 넘어 이용자를 특정할 수 있는 핵심 정보가 빠져나가면서, 유출 규모와 성격 모두 가볍게 볼 수 없는 사안이 됐습니다.
유출에 그치지 않고 실제 금전 피해로도 이어졌습니다. 유출된 정보와 연관돼 300여 명은 2억 4천만 원 규모의 무단 소액 결제 피해를 입는 등 2차 피해가 발생한 것으로 파악됐습니다. 개인정보 유출이 곧바로 이용자 지갑에 대한 피해로 번진 전형적인 사례입니다.
개인정보위는 이번 사안에서 KT가 소형 기지국 관리를 소홀히 한 점이 유출로 이어졌다고 판단했습니다. 통신사가 관리하는 말단 장비의 보안 공백이 대규모 개인정보 유출과 금전 피해로 확산될 수 있음을 보여준 사례로, 통신망 전반의 보안 관리 책임을 둘러싼 논의가 이어질 전망입니다.