기간통신사업자 KT 안전조치 의무 소홀…'조직적 은폐' 고발도

개인정보보호위원회가 KT에 540억 원에 달하는 거액의 과징금을 부과한 것은 기간통신사업자로서 안전조치 의무를 소홀히 해 대규모 개인정보 유출사고를 일으키고, 무단 소액결제 등 2차 피해까지 발생하게 한 책임이 크다고 판단했기 때문입니다.

개인정보위는 기업의 개인정보 유출 사고 시 안전조치 의무 위반이 확인될 경우에는 전체 매출액의 3%를 초과하지 않는 범위에서 위반행위와 관련없는 매출액을 제외한 매출액을 기준으로 과징금 수위를 결정합니다.

여기에 법 위반행위의 중대성, 정보주체의 피해 규모·영향, 조사협조 및 시정완료 여부 등의 요소를 고려한 가중·감경을 거쳐 과징금 규모를 최종 산정합니다.

이번 KT에 대한 과징금 산정은 무단 소액결제 사고가 발생한 KT 이동통신서비스의 5G·LTE 통신 매출을 기준으로 이뤄졌습니다.

IPTV·인터넷 통신 등 관련 없는 독립적인 매출액은 관련 매출액에서 제외돼 과징금 산정 기준에 포함되지 않았습니다.

개인정보위는 KT가 국민 생활에 필수적인 이동통신 서비스를 제공하는 기간통신사업자로서 내부망에 대한 접근통제 관리 소홀로 공격자(해커)의 불법적인 접근을 제한하지 못한 점을 지적했습니다.

또 내부 통신망에 대한 지속적인 접근에도 이상행위를 탐지하지 못해 실제 금전적 피해로 이어지는 등 개인정보 침해 수준이 상당히 높다는 점을 근거로 중대한 위반행위로 판단했습니다.

아울러 위반 기간과 위반행위 시정 여부, 피해 회복 노력 등 다양한 요소를 고려해 539억 7,900만 원이라는 최종 과징금액을 산정했다는 게 개인정보위의 설명입니다.

KT는 제재 심의과정에서 해커가 펨토셀을 제작해 단말기에서 송출되는 통신신호를 가로채는 방식으로 발생한 전례 없는 '신유형의 사고'라며 예측이나 대응이 불가능했다고 항변했으나 받아들여지지 않았습니다.

개인정보위는 "펨토셀은 단순한 말단 통신장비가 아닌 이동통신 서비스를 이용하기 위해 반드시 경유해야 하는 필수적인 장비로, 이번 사고가 펨토셀 장비에 대한 관리 부실, 내부망 접속에 대한 접근통제 미흡으로 난 사고라는 점에서 안전조치의무 준수 시 충분히 예방이 가능한 사고였다"고 지적했습니다.

KT 제재 과정에서는 거짓자료 제출 등 KT의 조사방해 행위가 고려되기도 했습니다.

개인정보위는 펨토셀을 통한 개인정보 유출 사고를 조사하는 과정에서 서버 다수가 감염된 사실을 확인해 조사를 확대했는데, KT가 정부에 침해사실을 신고하지 않은 것은 물론 개인정보 유출 여부에 대한 상세 분석도 하지 않고서 자체 마무리한 점을 파악했습니다.

당시 감염 서버 중에는 이용자 개인정보를 처리하는 시스템이 다수 포함돼 있었습니다.

개인정보위는 또 침해 발생 서버 일부의 로그를 삭제하는 등 조직적으로 침해사실을 은폐한 정황도 확인했습니다.

개인정보위는 KT가 조사과정 초기 감염서버에 대한 보존자료가 없다고 '거짓 진술'을 했으나, 디지털포렌식을 통해 조사 착수 전 관련 로그를 삭제한 정황을 적발해내자 뒤늦게 별도 보관 중인 로그를 제출하는 등 조사를 지연·방해한 사실이 있다고 했습니다.

개인정보위는 KT에 대한 과징금 제재와 별도로 개인정보 보호법과 '개인정보 보호 법규 위반에 대한 고발기준'에 따라 KT를 수사기관에 고발하기로 했습니다.

개인정보보호법 제73조는 '자료제출 요구에 대해 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부하거나 거짓의 자료를 제출한 자' 등에 대해 2년 이하의 징역 또는 2천만 원 이하의 벌금에 처하도록 규정합니다.

개인정보위는 KT에 대한 조사와 처분을 두고서는 큰 의미를 부여하기도 했습니다.

개인정보위는 "국민 생활과 밀접한 서비스를 제공하는 대규모 개인정보처리자의 유출사고에 대해 위반행위의 중대성에 상응하는 경제적 제재로 책임성을 제고했다"면서 "국민의 개인정보를 두텁게 보호하겠다는 원칙을 다시 한번 확인했다"고 자평했습니다.

그러면서 "개인정보처리자는 개인정보 유출이 국민 생명과 재산에 직접적인 피해로 이어질 수 있다는 점을 인식하고 유출사고가 발생하지 않도록 노력을 다해야 한다"고 당부했습니다.

(사진=연합뉴스)