AI 핵심 요약
beta- 개보위가 29일 KT에 539억7900만원 과징금을 부과했다
- 조사과정에서 로그 삭제와 거짓 진술로 KT를 고발했다
- LG유플러스는 서버 폐기로 공무집행방해 수사의뢰했다
!AI가 자동 생성한 요약으로 정확하지 않을 수 있어요.
과징금 기준, IPTV·인터넷 등 사고 무관 사업 매출 제외
[서울=뉴스핌] 정승원 기자 = 개인정보보호위원회가 소형 기지국(펨토셀) 해킹 피해에 대해 KT에 과징금을 부과하면서, 조사과정에서 로그 삭제와 거짓 진술로 업무를 방해한 행위에 대해서도 고발하기로 했다. 또한 과징금 539억원이 KT의 5G, LTE 서비스 매출을 기준으로 산정됐다고 밝혔다.
개보위는 29일 KT가 불법 펨토셀을 통해 고객 개인정보를 유출하게 한 책임에 대해 과징금 539억7900만원을 부과하기로 의결했다고 30일 밝혔다.
이번 과징금 부과와 관련해 가장 주목된 부분은 그 규모였다. KT의 전체 매출인 6조6000억원을 기준으로 할 경우 최대 2000억원 가까이 과징금이 부과될 수 있기 때문이다.
개보위는 이번 과징금 산정의 기준을 KT의 5G, LTE 서비스 매출로 했다. 5G, LTE 사용자 중에서 무단 소액 결제 피해가 발생한 만큼 이들 서비스 매출만을 기준으로 한 것이다.
다른 안건으로는 LG유플러스가 임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일을 유출한 부분에 대해서는 조사 착수 전 관련 서버의 운영체제를 재설치하거나 폐기해 증거를 인멸했다고 확인했다. 개보위는 이를 공무집행방해로 판단해 수사기관에 수사를 의뢰하기로 했다.
양청삼 개보위 사무처장은 "KT의 경우 앞선 사례(SK텔레콤)와 비교해 확인된 유출 규모가 상대적으로 적었고 유출된 정보도 임시값, 기기의 단말기 정보를 포함한 3종으로 달랐다. 피해 관련해 보상이라든지 시정조치 등이 신속하게 협조됐다는 점이 감안됐다"며 "유출 규모도 앞선 유출 사고는 2300만명의 유심 정보가 유출됐던 건인데 비해 KT는 확정된 유출 규모가 1만6647명이라는 점이 고려됐다"라고 전했다.
다음은 이날 브리핑의 주요 질의응답이다.
Q. 민관합동조사단이 발표한 유출 규모인 2만2227건과 개인정보위 조사 결과인 1만6647명이 다른 이유는.
A. 과학기술정보통신부 민관합동조사단은 해커의 불법 펨토셀을 통해 유출된 전체 정보 규모를 기준으로 집계했다. 반면 개보위는 법인 회선과 다중회선 등 중복을 제외한 실제 정보주체 수를 기준으로 산정했다. 이에 따라 실제 개인정보 유출 규모는 KT 이동통신서비스(알뜰폰 포함) 이용자 1만6647명의 휴대전화번호, IMSI(가입자식별번호), IMEI(단말기식별번호)로 확인됐다.
Q. 539억7900만원의 과징금은 어떤 기준으로 산정됐나.
A. 개인정보위는 개인정보 보호법에 따라 안전조치 의무 위반이 확인될 경우 관련 매출액을 기준으로 전체 매출의 3% 범위 내에서 과징금을 산정한다. 이번 사건은 무단 소액결제 피해가 발생한 KT의 5G·LTE 이동통신 서비스 매출을 기준으로 했으며 IPTV와 인터넷 등 사고와 직접 관련이 없는 사업 매출은 제외했다.
또한 내부망 접근통제 미흡으로 공격자의 장기간 침입을 막지 못했고 실제 금전 피해까지 발생한 점을 중대한 위반으로 판단했다. 위반 기간과 시정 여부, 피해 회복 노력, 조사 협조 여부 등을 종합적으로 반영해 최종 과징금을 결정했다.
Q. 이번 심의 과정에서 KT는 어떤 입장을 밝혔나.
A. KT는 이번 사고가 해커가 자체 제작한 불법 펨토셀을 이용해 통신 신호를 가로챈 전례 없는 신종 해킹으로 사전에 예측하거나 대응하기 어려웠다고 주장했다. 그러나 개보위는 펨토셀이 이동통신 서비스를 위해 반드시 거치는 핵심 통신장비인 만큼 인증서 관리와 내부망 접근통제, 이상 접속 탐지 체계를 적절히 운영했다면 충분히 예방할 수 있었던 사고라고 판단했다. 또한 해외 사례와 학계에서도 펨토셀 보안 취약성이 지속적으로 제기돼 온 만큼 KT의 안전조치 의무 위반 책임이 인정된다고 설명했다.
Q. KT는 고발되고 LG유플러스는 수사의뢰된 이유는 무엇인가.
A. KT는 개인정보위 조사가 시작된 이후 조사 과정에서 로그 삭제와 거짓 자료 제출 등으로 조사를 방해한 행위가 확인돼 개인정보 보호법상 조사방해 혐의로 고발 대상이 됐다. 반면 LG유플러스는 개인정보위 조사 착수 전에 관련 서버를 폐기하는 등 증거를 없앤 것으로 확인됐지만 현행 개인정보 보호법상 조사 착수 이전 행위는 조사방해 규정 적용 대상이 아니다.
이에 개보위는 형법상 공무집행방해 혐의를 적용해 수사기관에 수사의뢰했다. 개인정보위는 이 같은 제도적 공백을 보완하기 위한 법 개정을 추진하고 있다.
Q. 증거 은닉·폐기와 관련해 어떤 제도 개선이 추진되나.
A. 개보위는 개인정보 유출 사고 발생 시 증거 은닉이나 폐기에 대한 제재를 강화하기 위해 관련 규정 신설을 추진하고 있다. 조사에 협조하지 않는 사업자에 대한 이행강제금과 증거보전명령 제도를 도입하는 내용의 법안은 이미 국회에 발의됐으며 증거 은닉·폐기 행위에 대한 별도 제재 규정도 하반기 국회 통과를 목표로 추진 중이다. 개인정보위는 연내 제도 개선을 통해 향후 개인정보 유출 사고 발생 시 신속한 조사와 정보주체 보호가 가능하도록 한다는 방침이다.
origin@newspim.com
