KT 펨토셀 해킹 1만6647명 유출과 540억 과징금의 경고

KT 펨토셀 해킹 사건의 539억7900만원 과징금은 유출 인원만 보고 가볍게 읽기 어려운 처분입니다. 개인정보 유출은 1만6647명으로 집계됐지만, 그 정보가 무단 소액결제로 이어졌고 해커는 약 11개월 동안 내부망 접속을 유지했습니다.

같은 발표를 두고 보도는 서로 다른 지점을 비춥니다. 하나는 불법 소형기지국을 통한 개인정보 유출과 결제 피해에 대한 확정 처분이고, 다른 하나는 악성코드 감염과 로그 삭제 정황을 둘러싼 별도 조사입니다. 둘을 한 사건처럼 섞으면 과징금의 근거와 아직 확인되지 않은 위험을 모두 흐리게 됩니다.

펨토셀의 허점은 기지국 한 대의 문제가 아니었습니다

개인정보보호위원회는 7월 29일 전체회의에서 KT에 과징금 539억7900만원, 시정명령과 개선권고, 공표명령을 의결했습니다. 조사 결과 해커는 유실된 KT 펨토셀에서 추출한 인증서를 불법 장비에 넣어 이동통신망에 접속했고, 이용자 단말과 내부망 사이를 오가는 정보를 가로챘습니다.

핵심은 장비의 크기가 아니라 신뢰를 확인하는 문이 오래 열려 있었다는 데 있습니다. KT는 인증서 유효기간을 10년으로 설정했고, 접속 인터넷주소(IP)를 제한하지 않아 해외나 타사 IP에서도 접속할 수 있도록 운영했습니다. 관리서버를 우회하는 경로와 비인가 셀 아이디의 이상 접속을 탐지할 체계도 충분하지 않았습니다. 현관문 열쇠 하나가 복제된 상황에서 복도 끝 방까지 별도 확인 없이 들어갈 수 있었던 셈입니다.

저는 그래픽카드 수십 장으로 이더리움 채굴기를 직접 세팅한 적이 있는데, 장비가 늘어날수록 성능보다 먼저 챙길 것은 접속 경로와 관리 권한이었습니다. 통신망은 그보다 훨씬 큰 규모인 만큼, 인증서와 IP 제한, 이상 탐지가 따로따로가 아니라 겹겹이 작동해야 합니다. 이 사건의 불편한 지점도 바로 여기에 있습니다.

유출 규모와 금전 피해는 서로 다른 무게를 가집니다

개인정보위는 실제 정보주체 기준으로 알뜰폰 가입자를 포함한 1만6647명의 휴대전화번호, 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다고 봤습니다. KT가 처음 신고한 2만2227명에서 법인과 다중회선 등의 중복을 제외한 수치입니다. 이후 해커는 추가로 확보한 이름, 성별, 생년월일을 결합해 결제를 시도했고, 인증번호가 담긴 문자메시지(SMS)와 자동응답시스템(ARS)을 탈취했습니다.

구분	확인된 내용
개인정보 유출	1만6647명, 휴대전화번호·IMSI·IMEI
무단 소액결제	368명, 약 2억4000만원
비정상 접속 기간	2024년 10월 8일~2025년 9월 5일
제재 산정 기준	LTE·5G 무선통신 관련 매출

여기서 1만6647명과 368명을 단순히 크고 작은 숫자로 비교하면 안 됩니다. 유출된 정보 유형은 3종으로 평가됐지만, 결제 인증 절차까지 넘어간 피해는 정보 유출이 곧바로 생활비와 연결될 수 있음을 보여줍니다. 개인정보위가 이를 2차 피해로 중대하게 본 이유입니다.

다만 이번 위반은 ‘중대한 위반’으로 판단됐고, 다른 통신사 사고의 ‘매우 중대한 위반’과는 등급이 달랐습니다. 개인정보위는 상대적으로 작은 유출 규모, 정보 종류, 신속한 피해보상과 시정조치 협조를 함께 고려했다고 설명했습니다. 과징금이 540억원에 가깝다는 인상과 별개로, 처분은 확인된 피해 범위와 관련 매출을 함께 계산한 결과인 셈이죠.

악성코드 감염 건은 과징금의 뒷부분이 아닙니다

펨토셀 사건과 별도로 KT는 2024년 3월 로밍렌탈서비스 홈페이지 취약점을 통한 침투로 38대 서버가 BPF도어(BPF Door) 등 악성코드에 감염된 사실을 인지했습니다. 관리자 페이지를 향한 구조적 질의 언어(SQL) 삽입 공격으로 KT 임직원과 협력업체 일부 직원의 이름, 전화번호, 계정 정보가 조회·유출된 정황도 확인됐습니다.

두 보도의 시선이 갈리는 이유는 처분 단계가 다르기 때문입니다. 펨토셀 건은 안전조치 의무 위반을 근거로 과징금이 확정됐지만, 악성코드 감염 건은 당시 네트워크 로그가 남아 있지 않아 이용자 개인정보의 추가 유출 여부를 확인하지 못했습니다. KT가 침해 서버 10대의 로그를 삭제하고 자료가 없다고 진술했다가 뒤늦게 로그를 제출한 정황은 조사 방해로 고발 대상이 됐습니다.

기록이 사라지면 사고의 크기보다 사고를 판별할 능력부터 무너집니다.

따라서 지금 중요한 것은 악성코드 감염이 펨토셀 과징금에 포함됐는지를 묻는 일이 아니라, 수사와 추가 조사에서 어떤 사실이 새로 확인되는지 지켜보는 일입니다. 추가 유출 여부, 로그 삭제의 경위, 별도 위법 사실이 확인돼야 이 사건의 제재 범위도 판가름 납니다. 통신 보안에서 마지막 방어선은 장비가 아니라, 이상 징후를 남기고 읽어내는 운영 체계입니다.

• KT, 펨토셀 해킹 ‘540억 철퇴’…악성코드 사건은 별도 제재 검토
• ‘펨토셀해킹’ KT에 과징금 540억…악성코드 감염 추가조사 진행(종합)
• [일문일답] “KT 540억 과징금은 불법 펨토셀 건…악성코드 감염은 별도 …

이 글은 공개된 조사 결과와 보도를 바탕으로 정리했으며, 추가 조사와 의결서 확정에 따라 일부 내용은 달라질 수 있습니다.