해킹 사고 현황과 규제 당국의 신호
지난 7월 29일 개인정보보호위원회는 KT에 539억7900만원의 과징금을 부과했다. 2024년 10월부터 2025년 9월까지 약 11개월간 진행된 펨토셀 해킹 사고가 이유다. 펨토셀은 통신 음영지역 해소를 위한 소형 기지국이다. 해커는 유실된 KT 펨토셀의 인증서를 탈취해 자체 제작 펨토셀에 이를 심었고, 이용자들을 무단으로 자신의 기지국을 거치게 했다.
사고의 심각성은 개인정보 유출이 즉각적인 금전 피해로 이어졌다는 점이다. KT 이용자 1만6647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 노출됐고, 368명이 약 2억4000만원 상당의 무단 소액결제 피해를 입었다. 단순한 정보 유출을 넘어 실제 거래 손실로 귀결된 사례는 규제 당국의 강경한 처분을 정당화한다.
더 문제는 KT의 사후 대응이다. 개인정보보호위는 KT가 악성코드 감염 사실을 신고하지 않았고, 조사 과정에서 로그를 삭제해 증거를 훼손했다고 지적했다. 동시에 LG유플러스는 조사 착수 전 관련 서버를 폐기했고, 수사기관에 수사를 의뢰 받았다.
통신사 보안 관리체계의 구조적 미흡
KT의 펨토셀 관리 문제는 단발성 해킹이 아니라 체계적 부실을 드러낸다. 내부망 접속용 인증서의 유효기간을 10년으로 길게 설정한 점, 접속 IP를 제한하지 않아 해외에서도 침입이 가능했던 점, 펨토셀 관리서버를 우회할 수 있는 경로가 존재한 점이 모두 드러났다. 무엇보다 코어망 접속 시 부여되는 셀 아이디(Cell ID)를 관리하지 않아 비인가 접속을 탐지할 체계가 전무했다.
이는 규제 당국이 "조사 전 증거인멸도 처벌" 제도를 손질하려는 배경이 된다. KT의 로그 삭제와 LG유플러스의 서버 폐기는 사후 은폐에 해당하며, 원래 위반행위보다 더 무겁게 처벌하려는 신호다.
통신 규제 강화와 산업 구조의 변화
이번 사건은 국내 통신산업이 규제 강화의 전환점에 서 있음을 보여준다. 과징금 540억 규모는 통신사의 보안 투자와 준법 비용을 크게 늘린다. 개인정보 유출에 대한 과징금이 구체적 피해액(2억4000만원)의 200배대에 달하는 것은 예방적 규제의 신호다.
통신 부문의 기업 리스크 구조가 재편된다. 보안 사고는 물론 사고 은폐 및 조사 방해가 별도로 적발되고 처벌받으면서, 조직 내 컴플라이언스 강화가 필수 비용이 됐다. 특히 중요 인프라를 관리하는 통신사의 경우 보안 태만이 개별 기업 손실을 넘어 사회적 신뢰까지 훼손한다.
결론
KT 과징금과 LG유플러스 수사의뢰는 규제 당국의 엄격해진 잣대를 명확히 한다. 산업 내 모든 통신사는 펨토셀 등 접근통제 대상 기기의 인증서 관리, 접속 로그 보존, 비인가 접근 탐지 체계를 즉시 점검해야 한다. 또한 사고 발생 시 신속한 신고와 투명한 조사 협력이 처벌 수준을 결정하는 기준이 되고 있다는 점도 명심해야 한다.
실무 적용 단계:
- 인증서 유효기간 감사: 현재 운영 중인 접속 장비의 인증서 유효기간을 즉시 점검, 10년 이상인 경우 3년 이내로 단축하는 계획 수립
- 접속 제어 강화: 특정 IP 대역 또는 지역에서만 기지국 접속을 허용하는 제한 정책 도입, 비인가 접근 시 자동 차단
- 감사 추적 체계 구축: 사고 발생 시 증거 인멸 위험을 줄이기 위해 클라우드 기반 로그 백업 도입, 삭제 방지 정책 구현
#KT과징금 #펨토셀해킹 #개인정보보호위원회 #통신보안 #증거인멸처벌