KT, 개인정보 유출 과징금 539억원…SKT와 무엇이 달랐나

무선서비스 5G·LTE 통신 매출 기준
SKT는 '매우 중대한 위반', KT는 '중대한 위반'

▲양청삼 개인정보보호위원회 사무처장이 정부서울청사에서 KT와 LGU+ 개인정보 유출사고에 대한 조사 처분 결과에 대하여 브리핑을 하고 있다. (사진제공=개인정보위)

이용자 1만6000여명의 개인정보가 유출되고 2억원 가량의 무단 소액결제 사건이 발생한 KT에 약 539억원의 과징금이 부과됐다. 앞서 유출사고가 발생한 SK텔레콤에 대해선 1000억원대의 과징금이 부과된 가운데 규모에 차이가 발생한 배경에 관심이 쏠린다.

개인정보위는 개인정보보호법을 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령 등을 의결했다고 30일 밝혔다. KT의 최근 3년간 무선서비스 매출은 연평균 약 6조6689억원이다. 단순 계산하면 매출액의 0.8%가 과징금으로 산정된 셈이다.

개인정보위 조사에 따르면 알뜰폰 가입자를 포함한 KT 이용자 1만6647명의 휴대전화번호, 국제모바일가입자식별번호(IMSI), 단말기 식별번호(IMEI)가 유출됐다. KT가 당초 신고한 2만2227명 중 중복을 제외한 결과다. 이중 368명이 약 2억4000만원의 무단 소액결제 피해를 봤다.

개인정보위는 “무단 소액결제 사고가 발생한 KT 이동통신서비스의 5G·LTE 통신 매출을 기준으로 과징금을 산정했다”며 “IPTV·인터넷통신 등 관련 없는 독립적인 매출액은 관련 매출액에서 제외했다”고 설명했다.

앞서 SK텔레콤은 지난해 발생한 정보유출 사고에 대해 1347억9100만원의 과징금 처분을 받았다. 과징금 규모를 가른 핵심 변수로 과징금 산정 기준이 되는 매출액과 위반행위 정도, 유출 규모 등이 꼽힌다. 약 2324만명의 개인정보가 유출된 SKT의 과징금 규모는 전년(2024년)도 무선서비스 매출의 약 1%였다.

SKT의 위반행위 정도를 ‘매우 중대한 위반’으로 판단한 개인정보위는 KT에 대해선 ‘중대한 위반’으로 보고 과징금을 부과했다. 개인정보위는 확인된 유출 규모가 SKT에 비해 상대적으로 소규모였고 유출 정보가 IMSI 등 3종에 불과했으며 피해보상과 시정조치에 신속하게 협조한 점 등을 감안했다고 설명했다.

KT는 내부망 접속을 위해 부여하는 펨토셀 인증서의 유효기간을 10년으로 설정하고, 내부망에 접속하는 펨토셀에 대해 접속 아이피(IP) 제한을 하지 않았다. 펨토셀 관리 서버를 우회할 수 있는 경로가 있었으며 코어망 접속 시 부여되는 셀 아이디에 대한 관리와 이상 접속 탐지 체계도 부재했다. 개인정보위는 KT가 펨토셀을 통한 내부망 개인정보처리시스템 접근통제를 소홀히 했다고 판단했다.

이번 결정에서 개인정보위가 초소형 기지국인 펨토셀을 외부 단말이나 이용자 소유 장비로 보지 않고 KT가 소유·설치·인증·운영하는 이동통신 네트워크의 일부로 파악했다는 점이 주목된다. 개인정보위는 개인정보 보호법상 안전조치 의무를 데이터베이스나 웹서버 보안에만 한정하지 않고 이동통신망과 기지국 장비 보안까지 포함된다는 점을 분명히 했다.

김도승 전북대 로스쿨 교수(개인정보보호법학회장)는 “이번 사건에선 KT가 인증서 발급과 내부망 접속을 직접 통제했다는 특수성이 있었기 때문에 펨토셀을 KT의 관리영역으로 본 것”이라며 “다만 사업자의 장비를 거치는 모든 구간을 관리영역으로 본다면 사물인터넷(IoT) 기기, 공유기 등 다양한 환경에서 사업자의 책임이 과도하게 확대될 우려가 있다는 점에서 신중해야 한다”고 지적했다.

이번 제재안에 대해 KT 관계자는 “개인정보위의 처분 결과를 무겁게 받아들이며 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 사과드린다”며 “KT는 개인정보보호 보호 체계 전반을 원점에서 재정비하고 있으며 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다”고 밝혔다.