#과징금

• 불법 펨토셀로 1만 6천 명 정보 유출… 소액결제 피해 확산
• 서버 로그 삭제·거짓 진술 은폐 시도… LG유플러스도 수사 의뢰

불법 소형기지국(펨토셀)을 악용한 해킹 사고로 대규모 개인정보 유출 및 무단 소액결제 피해를 야기한 KT에 약 540억 원에 달하는 과징금이 부과됐다. 개인정보보호위원회는 30일 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억 7900만 원과 함께 시정명령, 개선권고, 공표명령을 의결했다.

조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 악용해 KT 이동통신망에 침투한 뒤 통신 정보를 가로챘다. 이후 결제 인증 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취해 무단 소액결제를 진행했다. 이 사고로 알뜰폰 가입자를 포함해 총 1만 6647명의 개인식별정보가 유출됐으며, 368명이 2억 4000만 원 상당의 금융 피해를 입었다.

KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 IP 접속 제한이나 비인가 장비 탐지 체계를 갖추지 않는 등 심각한 보안 관리 부실을 드러냈다. 해커는 약 11개월 동안 내부망에 자재로 접근했으나, KT는 피해 민원이 접수된 후에야 이를 인지했다.

또한 KT는 서버 악성코드 감염 사실을 당국에 신고하지 않은 채 은폐하려 했으며, 조사 과정에서 침해 서버의 로그를 삭제하거나 거짓 진술을 하는 등 조사를 방해한 정황이 포착됐다. 개인정보위는 이를 엄중한 위반으로 판단해 KT를 검찰에 고발하는 한편, 조사에 비협조적인 태도를 보인 LG유플러스에 대해서도 수사기관에 수사를 의뢰했다.

개인정보보호위원회가 10일 정부서울청사에서 전체회의를 열고 3천300만건을 넘는 개인정보가 유출된 쿠팡에 대한 제재안을 심의한다.

지난 11월 쿠팡의 개인정보 유출이 알려진 지 약 7개월 만으로, 역대 최대 규모의 과징금 부과 여부에 관심이 집중되고 있다.

과학기술정보통신부 민관합동조사단은 올해 2월 조사 결과를 발표했다. 쿠팡 ‘내 정보 수정 페이지’의 취약점을 통해 이용자 성명과 이메일 주소 등이 포함된 개인정보 3천367만건이 유출됐다고 확인했다. 범인이 들여다본 배송지 주소 등의 정보는 1억5천만건에 달하는 것으로 파악됐다.

개인정보위는 지난 4월 쿠팡에 개인정보보호법 위반 사항과 예정 처분 내용 등을 담은 사전통지서를 발송했다. 쿠팡은 의견 제출 기한 연장을 요청한 뒤 소명 의견을 제출했으나, 개인정보위의 판단에 대부분 동의하기 어렵다는 취지의 의견을 낸 것으로 알려졌다.

현행 개인정보보호법은 개인정보 유출 사고 발생 시 매출의 최대 3% 범위에서 과징금을 부과할 수 있도록 규정하고 있다.

쿠팡이 전자공시시스템에 공시한 지난해 매출 45조5천억원을 단순 적용하면 법정 최대 과징금 규모는 약 1조3천637억원 수준이다. 다만 실제 과징금은 위반 행위와 관련된 매출 범위와 감경·가중 사유 등을 반영해 결정된다.

현재까지 개인정보위가 부과한 최대 과징금은 지난해 SK텔레콤 유심 정보 유출 사고에 내린 1천348억원이다. 업계에서는 유출 규모 등을 고려할 때 쿠팡에 역대 최대 수준의 과징금이 부과될 수 있다고 전망하고 있다.

고의 또는 중대한 과실로 대규모 개인정보 유출이 발생한 경우 매출의 최대 10%까지 과징금을 부과하는 ‘징벌적 과징금’ 조항을 담은 개인정보보호법 개정안이 국회를 통과했으나, 오는 9월 시행 예정이어서 이번 사건에는 적용되지 않는다.