현황: 예상보다 낮은 과징금, 하지만 실제 피해는 심각
개인정보보호위원회는 2026년 7월 30일 KT에 539억7900만원의 과징금을 부과하기로 의결했다. 통신사 정보유출·소액결제 피해 사건이 개인정보위 차원에서 행정처분으로 마무리된 것이다.
과징금 규모는 업계 예상을 하회했다. SK텔레콤이 2324만명의 정보를 유출했을 때 무선 매출액의 약 1%인 1348억원을 부과받은 점을 감안하면, KT의 540억원은 상대적으로 작은 규모다. 개인정보위는 "유출 정보 자체가 3가지로 적고 피해보상과 시정조치가 신속하게 이뤄진 점"을 반영했다고 설명했다.
다만 실제 피해는 결코 가볍지 않다. 유출된 1만6647명의 휴대전화번호·가입자식별번호(IMSI)·단말기식별번호(IMEI) 정보는 368명에게 약 2억4000만원의 무단 소액결제 피해를 초래했다. 정보 유출 규모는 작았지만, 실제 금전 피해로 직결된 점이 사건의 심각성을 보여준다.
원인: 펨토셀 관리 부실과 지연된 탐지
해킹의 출발점은 KT의 소형기지국 펨토셀 관리 미흡이었다. 해커는 유실된 펨토셀에서 인증서를 추출해 자체 제작한 불법 펨토셀에 심었다. 이후 KT 이동통신망에 접속해 이용자 단말과 내부망 간 통신을 도청하고 추가 정보와 결합해 소액결제를 시도했다.
개인정보위의 판단에 따르면 두 가지 관리 미흡이 주요 원인이었다. 첫째, KT는 펨토셀 인증서 유효기간을 10년으로 설정했다. 장기간 동안 인증서가 유지되면서 탈취 위험이 높아졌다. 둘째, 접속 인터넷주소(IP)를 제한하지 않았다. 해커는 2024년 10월부터 2025년 9월까지 약 11개월 동안 내부망에 자유롭게 접속할 수 있었고, KT는 소액결제 민원이 들어온 뒤에야 침해를 파악했다.
또한 개인정보위는 KT의 조사 방해 행위도 적발했다. 지난해 4월 악성코드 감염 전수 점검 과정에서 침해 서버 10대의 로그를 삭제했다. 이에 개인정보위는 KT를 수사기관에 고발하기로 결정했다.
전망과 정책 개선: 사후 처벌에서 사전 예방으로
이번 사건은 통신업계 정보보안 거버넌스의 구조적 문제를 노출했다. 과징금이 예상보다 낮았던 이유 중 하나는 피해보상과 시정조치가 빠르게 이뤄진 점이지만, 역으로 인증서 관리·접속 제한 같은 기본적 보안 원칙이 사전에 지켜졌다면 피해 자체가 없었을 것을 의미한다.
개인정보위는 제도 개선을 추진 중이다. 조사 전 증거 은닉·폐기에 대해서도 형사처벌과 함께 전체 매출의 3%까지 과징금을 부과할 수 있도록 기준을 강화한다. 조사 비협조 시 하루 매출의 0.3%를 이행강제금으로 부과하는 방안도 추진한다. 사후 처벌에서 사전 예방으로 정책 무게중심을 옮기는 신호다.
결론
정보유출·소액결제 피해…개인정보위, KT에 과징금 사건은 단순한 개별 위반 처벌을 넘어 통신업계 전반의 보안 수준과 규제 강도를 재정의하는 계기가 됐다. 인증서 유효기간·IP 제한 같은 기본 원칙의 재점검이 시급하며, 조사 협조 강제와 증거 보존 의무 강화가 향후 산업 표준이 될 가능성이 크다.
다음 단계:
- 통신사 담당자: 현재 운영 중인 기지국 인증서 관리 정책 전수 점검
- 정보보안팀: 내부망 접속 제한 정책(화이트리스팅) 실행 여부 확인
- 법무팀: 개선된 과징금 기준(전체 매출 3%, 일일 매출 0.3%) 반영한 컴플라이언스 체크리스트 수립
#정보유출소액결제피해개인정보위KT과징금 #펨토셀해킹 #통신사보안 #개인정보보호 #규제강화