KT 개인정보 유출 과징금 수위가 오늘(7월 29일) 오후 결정됩니다. 개인정보보호위원회가 전체회의를 열어 지난해 발생한 KT 해킹 사고에 대한 과징금과 시정명령을 심의·의결하는데, 개인정보보호법상 관련 매출의 3%를 적용한 법정 상한액은 약 2054억원에 달하는 것으로 알려졌습니다. 앞서 SK텔레콤은 유심 정보유출로 1348억원, 쿠팡은 역대 최대 규모인 6246억원의 과징금을 받은 전례가 있어, 이번 KT 제재가 어느 수준에서 결정될지 업계 관심이 쏠리고 있습니다.
사건 타임라인 — 펨토셀 해킹부터 오늘 제재까지
이번 제재의 뿌리는 지난해 9월로 거슬러 올라갑니다. 서울 서남부 지역에서 공격자가 불법 초소형 기지국(펨토셀)을 KT의 정상 장비처럼 위장해 설치하고, 이를 도청 장비처럼 활용해 인근 가입자들의 정보를 가로챘습니다. 이 과정에서 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등 핵심 개인식별 정보 2만2227명분이 유출됐습니다.
더 심각한 건 이 정보가 실제 금전 피해로 이어졌다는 점입니다. 유출된 식별정보를 악용해 소액결제 인증을 우회하는 수법으로 368명이 총 777건, 약 2억4300만원 규모의 무단 결제 피해를 입었습니다. 이후 민관합동조사단이 KT 내부 시스템을 정밀 조사한 결과, 서버 다수가 BPF도어를 비롯한 악성코드에 감염돼 있었다는 사실도 함께 드러났습니다. 이런 조사 결과를 바탕으로 개인정보보호위원회는 오늘 전체회의에서 최종 제재 수위를 결정합니다.
표로 보는 통신사·플랫폼 과징금 비교
| 기업 | 유출 규모 | 과징금 | 비고 |
|---|---|---|---|
| 쿠팡 | 약 3370만명 | 6246억8100만원 | 역대 최대 |
| SK텔레콤 | 약 2300만명(유심 정보) | 1348억원 | 관련 매출 약 1% 수준 |
| KT | 2만2227명 | 오늘 결정 | 법정 상한 약 2054억원 |
왜 이번 과징금이 중요한가
KT 사고는 유출 인원 자체는 SK텔레콤·쿠팡과 비교하면 훨씬 적습니다. 수천만 명 대 2만2000여 명이니 단순 규모로만 보면 가벼워 보일 수 있습니다. 하지만 개인정보보호법상 과징금은 유출 인원수가 아니라 위반과 관련된 매출액, 안전조치 의무 위반 정도, 실제 피해 발생 여부를 종합적으로 따져 산정됩니다. KT의 최근 3년 평균 무선서비스 매출은 약 6조6689억원으로, 여기에 법정 상한 3%를 적용하면 2054억원이 나옵니다.
특히 이번 사고는 유출로 끝나지 않고 368명의 실질적인 금전 피해(무단 소액결제)로 이어졌다는 점이 변수입니다. 유출 ‘규모’는 작아도 유출 정보가 실제 악용돼 피해자가 발생했다는 사실이 중대성 판단에 어떻게 반영될지가 이번 결정의 관전 포인트입니다. 또한 서버 다수가 악성코드에 감염된 상태로 방치됐다는 점은 안전조치 의무 위반 여부를 가르는 핵심 근거가 될 전망입니다. 이번 결과는 앞으로 “유출 규모는 작지만 피해가 실질적인” 유형의 사고에 개인정보위가 어떤 기준을 적용할지 보여주는 선례가 될 가능성이 큽니다.
통신 명의도용, 나도 확인해볼 수 있을까
이번 KT 유출은 가입자식별번호·단말기식별번호처럼 개인이 직접 조회할 수 없는 통신 내부 식별값이 새어나간 사고입니다. 유출 대상자 2만2227명에게는 KT가 개별 통보하는 방식으로 안내가 이뤄졌으며, 일반 이용자가 “내 정보가 이번 유출에 포함됐는지” 스스로 검색·조회할 수 있는 별도의 공식 창구는 없습니다.
다만 통신 3사에서 개인정보 유출 사고가 반복되는 상황에서, 내 명의로 모르는 사이 휴대전화 회선이 개통돼 있지는 않은지는 누구나 주기적으로 점검해볼 만합니다. 한국정보통신진흥협회(KAIT)가 운영하는 명의도용방지서비스 엠세이퍼(msafer.or.kr)에서 본인 명의로 개통된 이동통신 회선을 실시간으로 조회할 수 있고, 원치 않는 신규가입·번호이동을 아예 차단하는 가입제한 서비스도 신청할 수 있습니다. 이동통신 3사와 알뜰폰 업체 등 115개 통신사가 참여하고 있으며, 이용에는 휴대폰 본인인증이 필요합니다. jettlog.kr은 이 과정에서 개인정보를 요구하거나 수집하지 않습니다.
자주 묻는 질문
Q. KT 유출 정보로 내 계좌에서 돈이 빠져나갈 수도 있나요?
이번에 유출된 IMSI·IMEI·전화번호 자체로 계좌에 직접 접근할 수 있는 건 아닙니다. 다만 이 정보를 악용해 소액결제 인증을 우회하는 방식으로 368명이 실제 피해를 입었으므로, 본인 명의 소액결제 내역을 통신사 앱이나 문자로 주기적으로 확인해보는 게 안전합니다.
Q. 과징금 2054억원은 오늘 그대로 확정되나요?
아닙니다. 2054억원은 관련 매출의 3%를 적용한 법정 상한액일 뿐입니다. 실제 부과액은 오늘 전체회의 심의 결과에 따라 이보다 낮은 수준에서 결정될 가능성이 있습니다.
Q. 유출 인원이 SKT·쿠팡보다 훨씬 적은데 왜 과징금이 클 수 있나요?
과징금은 유출 인원수만으로 정해지지 않습니다. 위반 관련 매출 규모, 안전조치 의무 위반의 중대성, 실제 피해 발생 여부 등을 종합해 산정하기 때문에, 규모는 작아도 실질 피해가 확인된 이번 사고에서 어떤 결과가 나올지가 관심사입니다.
Q. 나도 이번 KT 유출 대상자인지 어떻게 확인하나요?
유출 대상 2만2227명에게는 KT가 개별 통보한 것으로 알려져 있습니다. 별도 안내를 받은 기억이 없다면 KT 고객센터를 통해 직접 확인해볼 수 있습니다.
Q. 펨토셀이 정확히 뭔가요?
가정이나 사무실처럼 통신 신호가 약한 곳에 설치하는 초소형 기지국입니다. 통신사가 정식 허가한 장비처럼 위장해 설치하면, 주변 단말기의 통신 신호를 가로채는 도청 장비로 악용될 수 있습니다.
시사점
이번 KT 사례가 눈여겨볼 만한 이유는 ‘유출 규모’와 ‘실질 피해’가 항상 비례하지 않는다는 걸 보여주기 때문입니다. 그동안 국내 과징금 논의는 대체로 유출 인원수를 중심으로 이뤄졌지만, 이번 KT 사고는 유출 인원은 수만 명 수준으로 작으면서도 실제 소액결제 피해자가 나왔다는 점에서 다른 성격의 사례입니다. 오늘 나올 결과가 유출 규모보다 피해의 실질성에 얼마나 무게를 두는지에 따라, 앞으로 통신사·플랫폼들이 ‘적은 인원이라도 안전조치를 소홀히 하면 안 된다’는 메시지로 받아들일지, 아니면 여전히 규모가 작으면 제재도 가볍다는 신호로 읽을지가 갈릴 수 있습니다.
또 하나 짚을 점은 유출된 정보의 성격입니다. 이름·주민번호 같은 전통적 개인정보가 아니라 통신 식별값(IMSI·IMEI)이 유출됐다는 점에서, 이용자가 스스로 유출 여부를 확인할 방법이 마땅치 않다는 한계도 드러났습니다. 이런 유형의 사고일수록 기업의 개별 통보 의무와 속도가 더 중요해지는 이유이기도 합니다.
Jett Insight는 매일 아침 새로운 IT·보안 소식을 업데이트합니다.
출처
함께 보면 좋은 글
국내 기업 금융 보안 조직 8년차. 취약점 진단과 보안 기획 업무를 하며, 업계 밖에서는 잘 안 보이는 보안 이야기를 정리하고 있습니다. 개인 자격으로 쓰며 소속 조직과 무관합니다.