개인정보위, KT 개인정보 유출 제재 29일 결론낼 듯

[서울=뉴시스]윤정민 기자 = 지난해 가입자 정보 유출사고를 낸 KT에 대한 정부 제재 결과가 이르면 이달 말 확정된다.

19일 업계에 따르면 개인정보보호위원회는 KT의 개인정보 보호법 위반 여부, 과징금·시정명령 등 제재 안건을 심의·의결하기 위해 오는 29일 전체회의를 여는 방안을 검토하고 있다.

KT는 지난해 9월 수도권 일부 지역에서 불법 펨토셀(초소형 기지국)을 이용한 무단 소액결제 사고를 겪었다. 공격자는 KT망에 불법 기지국을 접속시켜 주변 이용자 휴대전화를 가짜 기지국과 연결한 뒤 전화번호와 국제이동가입자식별번호(IMSI), 단말기식별번호(IMEI) 등을 빼낸 것으로 조사됐다.

과학기술정보통신부 민관합동조사단은 불법 펨토셀 접속 이력이 있는 피해 회선을 2만2227개로 파악했다. 이 가운데 368명의 결제 인증 문자와 전화를 가로채 상품권 등을 구매했고 무단 결제 피해액은 약 2억4300만원으로 집계됐다.

다만 개인정보위는 앞서 KT에 보낸 처분 사전통지서에서 개인정보가 유출된 정보주체를 1만6000여명으로 산정한 것으로 알려졌다. 한 사람이 여러 회선을 보유한 사례, 법인용 회선 등을 제외하면서 과기정통부가 집계한 피해 회선 수보다 줄어든 것으로 보인다. 법인용 회선은 법률상 개인정보에 해당하지 않는다.

개인정보보호법에 따르면 개인정보위는 위반 행위와 관련된 매출액의 최대 3%를 과징금으로 부과할 수 있다. 구체적인 액수는 위반 행위의 중대성과 기간, 피해 규모, 사후 조치 등을 반영해 정한다.

KT의 최근 3년간 무선서비스 매출은 연평균 약 6조6689억원이다. 3% 한도에 대입하면 약 2000억원이지만 실제 과징금은 관련 매출 범위와 부과기준율, 가중·감경 사유에 따라 크게 달라질 수 있다.

과징금 수위를 높일 요인으로는 통신망의 핵심 설비인 펨토셀 관리가 부실했다는 점이 꼽힌다. 불법 장비의 내부망 접속을 막지 못해 가입자 정보 유출과 결제 인증 탈취로 이어졌기 때문이다.

또 유출 정보가 단순 연락처뿐만 아니라 IMSI와 IMEI 등 통신 가입자·단말 식별정보를 포함했다는 점 등이 불리하게 작용할 수 있다. 개인정보 유출 규모는 약 2300만명이 피해를 본 SK텔레콤 사고보다 적지만 유출 정보가 범죄에 직접 악용됐다는 점은 가중 요소가 될 수 있다.

하지만 KT가 피해 고객의 무단 결제액을 보상하고 유심 무상 교체 등 피해구제 조치를 시행한 점은 감경 요인으로 고려될 수 있다. 불법 펨토셀 접속 차단과 망 보안 강화 등 재발 방지 조치를 시행한 점도 제재 수위에 반영될 가능성이 있다.

KT는 지난해 정보보호 부문에 1276억원을 투자했다. 단일 법인 기준 이동통신3사 가운데 가장 큰 규모다. 또 지난 5월 개인정보보호 자문위원회를 출범한 데 이어 이달에는 인공지능(AI) 보안과 제로트러스트, 침해사고 대응 등을 다루는 정보보호 자문위원회를 구성했다.

다만 투자 규모가 크다는 사실만으로 안전조치 의무를 다했다고 보기는 어렵다. 개인정보위는 사고 당시 실제 보호조치가 적절했는지와 사고 이후 피해 회복·재발 방지 노력이 충분했는지를 함께 살펴 과징금을 정할 전망이다.


◎공감언론 뉴시스 [email protected]