0:00Your browser does not support theaudio element.구글 선호 매체 등록서울 광화문 케이티(KT) 사옥. 연합뉴스광고개인정보보호위원회가 대규모 개인정보 유출 사고를 일으킨 케이티(KT)에 540억원 규모의 과징금을 부과하고, 증거 은닉·폐기 등 조사를 방해한 행위에 대해 고발하기로 했다.개인정보위는 전날 전체회의에서 개인정보보호법을 위반한 케이티에 과징금 539억7900만원과 시정명령 및 개선권고를 처분했다고 30일 밝혔다.조사 결과, 해커는 유실된 케이티의 초소형 기지국(펨토셀)에서 인증서를 빼내 자체 제작한 불법 펨토셀에 심은 뒤 이를 이용해 케이티 이동통신망에 접속했다. 이후 이용자 단말기가 불법 펨토셀을 거치도록 유도해 단말기와 케이티 내부망 간 송·수신 정보를 가로챘고, 이를 별도로 확보한 이름·성별·생년월일 등 개인정보와 결합해 휴대전화 소액결제를 요청했다. 이후 결제 인증코드가 포함된 자동응답시스템(ARS) 음성과 문자메시지(SMS)를 탈취해 무단 소액결제에 성공했다.광고이 과정에서 케이티 이용자 1만6647명(알뜰폰 포함·중복 회선 제외)의 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출됐다. 이 가운데 368명은 약 2억4000만원 상당의 무단 소액결제 피해를 입었다.개인정보위는 케이티가 2016년부터 펨토셀을 도입·운영하면서 내부망 접근에 대한 기본적인 통제 관리를 소홀히 했다고 판단했다. 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 인터넷주소(IP)를 제한하지 않아 해외나 다른 통신사에서도 내부망 접속이 가능했다. 또 펨토셀 관리 서버를 우회할 수 있는 경로가 존재했고, 코어망 접속 때 부여되는 셀 아이디(Cell ID)를 제대로 관리하지 않아 비인가 셀 아이디의 이상 접속을 탐지·차단하는 체계도 갖추지 않은 것으로 드러났다.광고광고개인정보위는 펨토셀 무단소액 결제 사건을 조사하는 과정에서 알려진 케이티 내부 서버 해킹 정황도 조사했다. 해커는 2024년 3월 케이티 로밍렌탈서비스 누리집의 취약점을 이용해 네트워크에 침투한 뒤 악성코드 ‘비피에프도어(BPFDoor)’ 등을 설치해 모두 38대의 서버를 감염시켰다. 또 관리자 페이지에 SQL 삽입 공격을 가해 케이티 임직원과 일부 협력업체 직원의 이름, 전화번호, 계정 정보 등을 유출한 정황도 확인됐다.케이티 쪽은 “개인정보위의 처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다”며 “개인정보 보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 밝혔다.광고한편 개보위는 앞서 개인정보 유출 의혹 조사 착수 전 서버를 폐기해 증거를 인멸한 엘지(LG)유플러스에 대해서도 수사를 의뢰하기로 했다.선담은 기자 sun@hani.co.kr