LG유플러스 관련 "개인정보 유출 경위 및 추가 유출 여부 확인 어려워"
[메가경제=황성완 기자] 정부가 작년 소액결제 침해로 인해 약 1만6000여명의 개인정보를 유출한 KT에 540억원대 과징금을 부과했다.
 |
| ▲개인정보보호위원회. [사진=연합뉴스] |
30일 업계에 따르면 개인정보보호위원회(이하 개보위)는 전날 오후 정부서울청사에서 전체회의를 열고 개인정보 보호법을 위반한 KT에 과징금 539억7900만원과 시정명령, 개선권고, 공표·공표명령을 의결했다.
개보위는 "해커가 유실된 KT 소형기지국에서 인증서를 빼낸 뒤 자체 제작한 기지국에 이를 심고, KT 통신망에 접속했다"며 "이용자 스마트폰이 해킹된 소형기지국을 통하도록 유도한 뒤 정보를 가로챘고, 이 정보를 통해 무단 소액결제에 성공했다"고 전했다.
개보위에 따르면 KT 이용자 1만6647명의 전화번호·가입자식별번호·단말기식별번호가 유출됐으며, 이 중 368명이 무단 소액결제 피해를 입었다. 해당 피해액은 2억4000만원에 달한다.
개보위는 이번 사태가 단순히 개인정보 유출에 그치지 않고 금전 피해까지 발생했다는 점에서 심각성이 크다고 지적했다. 개보위에 따르면 KT는 소형기지국을 엄격히 관리하지 않는 등 보안 관리를 철저히 하지 않았다.
KT는 허가받은 소형기지국만 내부망에 연결되도록 통제해야 했지만 관리체계가 부실해 인가받지 않은 소형기지국도 내부망에 접속할 수 있었다. 소형기지국 인증서 유효기간을 장기간(10년)으로 설정했고, IP 제한을 하지 않아 해외 IP를 통해서도 내부망에 접근할 수 있도록 한 것이다. 해커는 2024년 10월부터 지난해 9월까지 11개월 동안 내부망에 접속해 이용자 개인정보를 유출했지만 KT는 이를 탐지하지 못했다.
개보위는 앞서, KT가 심의 과정에서 밝힌 "전례 없는 신유형의 사고로 예측이 불가능했다"는 주장에 “소형기지국 관리가 부실했고 내부망 접근 통제 미흡으로 발생한 사고라 충분히 예방이 가능했다. 특히 소형기지국을 통한 해킹은 해외 사례나 학계에서도 지적이 지속적으로 제기됐다”고 강조했다.
개보위는 작년 8월 미국 보안 전문지 ‘Phrack’에서 발표한 LG유플러스의 개인정보 유출 사실을 인지하고 같은 해 9월 10일 조사에 착수해 개인정보 유출관련 사실관계도 검토했다.
조사 과정에서 LG유플러스 임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일의 유출 여부를 점검했고, 해당 정보가 LGU+의 통합 비밀번호 관리시스템(Automated Process Policy Management, 이하 ‘APPM’)에서 실제 회사가 보유·관리하던 정보로 확인됐다고 전했다.
다만, LG유플러스는 위원회의 조사 착수 전 APPM 서버 등 관련 서버의 운영체제(OS)를 재설치하거나 폐기해 위원회가 조사를 통해 정확한 유출 경위 및 추가 유출 여부 등을 확인할 수 없도록 했다는 것이 업체 측 설명이다.
개보위는 KT와 LG유플러스 등 이번 사건을 계기로 조사 실효성을 높이기 위한 제도 개선에도 나선다. 현행법은 위원회의 조사가 시작된 이후 증거를 은닉하거나 폐기한 경우에는 형사처벌이나 과태료 부과가 가능하지만, 조사 착수 이전의 증거 인멸 행위에 대해서는 별도의 제재 규정이 없어 규제 사각지대가 존재한다고 설명했다.
이 때문에 사고 발생 직후 증거를 미리 없애는 것이 오히려 사업자에게 유리할 수 있다는 지적이다.
이에 개보위 개인정보 유출 사고 발생 시 적기 신고를 유도하고 조사 회피를 막기 위해 관련 법 개정을 추진할 계획이다. 우선 조사 착수 이전 증거 은닉·폐기 행위에 대해서도 형사처벌이 가능하도록 하고, 증거를 은닉하거나 폐기한 사업자에게는 전체 매출액의 3%를 과징금으로 부과하는 방안을 마련한다. 아울러 증거 은닉·폐기 사실을 신고해 조사와 처분에 기여한 경우에는 신고포상금을 지급하는 제도도 도입할 예정이다.
이와 함께 사업자의 조사 비협조로 인한 조사 지연을 막기 위해 조사 비협조 또는 시정명령 미이행 시 일 매출액의 0.3%를 이행강제금으로 부과하고, 개인정보 침해사고 발생 시 자료보전명령을 내릴 수 있도록 개인정보보호법 개정도 추진할 방침이다.
개보위는 이번 조사와 처분이 국민 생활과 밀접한 서비스를 제공하는 대규모 개인정보처리자에게 개인정보 보호 책임을 보다 엄격히 묻는 계기가 될 것으로 기대했다. 특히 개인정보 유출 사고를 은폐하거나 조사에 협조하지 않는 행위에 대해서도 끝까지 법적 책임을 묻겠다는 원칙을 재확인하며, 사고 은폐가 기업에 더 이상 유리한 선택이 될 수 없도록 제도적 장치를 강화하겠다는 입장이다.
송경희 개보위 위원장은 "이번 처분이 통신업계 전반의 보안 역량을 강화하는 계기가 되길 바란다"며 "사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 이어지도록 제도를 개선해 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식이 업계 전반에 자리 잡도록 하겠다"고 말했다.
한편, 개보위는 작년 8월 27일 제18회 전체회의를 열고, 개인정보 보호 법규를 위반한 SK텔레콤에 대해서도 과징금 1347억9100만원과 과태료 960만원을 부과한 바 있다.
[저작권자ⓒ 메가경제. 무단전재-재배포 금지]
