개인정보위, KT 해킹 제재 29일 결론…과징금 수위 주목

29일 전체회의서 처분안 심의
관련 사업 매출 3% 부과 가능…최대 1900억원
위법 중대성·피해 규모 등 종합해 결정

KT 의 해킹 사고와 개인정보 유출에 대한 제재 수위가 오는 29일 결정된다. 앞서 SK텔레콤과 쿠팡 등이 대규모 과징금을 부과받은 만큼 KT 역시 이에 상응하는 처벌을 받을 것이라는 전망이 업계에서 나온다.

개인정보보호위원회는 오는 29일 오후 전체회의를 열고 KT의 개인정보법 위반 여부와 과징금 등 제재 내용을 담은 처분안을 심의할 예정이다. 회의 진행 상황에 따라 위원들이 사실관계 확인이나 과징금 산정 기준 등에 대한 추가 검토가 필요하다고 판단하면 처분안 의결이 다음 회의로 미뤄질 가능성은 있다.

KT 사옥. 사진=조용준 기자 jun21@

KT는 지난해 9월 불법 소형 기지국(펨토셀)을 악용한 공격으로 수도권 서남부 지역 가입자 2만2227명의 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등 개인정보가 유출되는 사고를 겪었다.

과학기술정보통신부 민관합동조사단의 조사 결과 KT 펨토셀 해킹으로 개인정보 유출 피해자 가운데 368명은 총 777건, 약 2억4300만원 규모의 무단 소액결제 피해를 본 것으로 조사됐다. KT가 펨토셀의 보안 관리를 제대로 하지 않아 불법 펨토셀 장비의 내부망 접속을 막지 못한 점은 불리한 정황이다.

개인정보위는 이외에도 BPF도어 악성코드 감염과 관련한 조사 역시 진행했다. BPF도어는 SK텔레콤의 유심(USIM) 정보 해킹 사태 당시에도 공격에 쓰였다.

KT의 개인정보 유출 사고가 터졌을 당시의 개인정보보호법에 따르면 안전조치 의무 위반 등 중대한 법 위반이 발생할 경우 위반 행위와 관련해 매출액의 최대 3%까지 과징금을 부과할 수 있다. 이때 관련 매출액은 사고가 발생하기 직전 3개년의 평균 매출액을 기준으로 한다.

KT의 별도기준 무선사업 부문의 2022년~2024년 평균 매출은 약 6조4463억원이다. 이를 바탕으로 계산하면 최대 1930억원 수준의 과징금을 부과할 수 있는 것으로 추산된다.

다만 실제 과징금 규모는 KT가 유출사고 당시 저지른 위법 행위의 중대성과 피해 규모, 사업자의 대응 등을 종합해 결정될 예정이다. 앞서 개인정보위가 내린 과징금 결정에서 SKT 과징금인 약 1348억원은 이동통신(MNO) 매출의 1%, 쿠팡 과징금 6246억원은 e커머스 부문 매출의 1.8% 수준이다.

KT 사고의 경우 실제 금전 피해가 발생한 데 더해 KT가 통신망에 대한 보안 조치를 부실히 했다는 점이 과징금 가중 요인이 될 수 있다.

한편, KT 개인정보 유출 사고는 개정 개인정보보호법 시행 이전에 발생한 건으로 매출의 최대 10%를 징벌적 과징금으로 매기는 규정이 적용되지 않는다.

이명환 기자 lifehwan@asiae.co.kr