KT 개인정보 유출 과징금 540억원, 무슨 일이 있었나 - 사건 전말과 내 정보 확인법

오늘(7월 30일) 개인정보보호위원회가 KT에 540억원에 육박하는 과징금을 확정했다는 소식, 보셨나요.

통신사 개인정보 유출 사고는 처음이 아니지만, 이번엔 조사 방해 정황까지 드러나 파장이 더 큽니다.

사건의 시작부터 오늘 발표된 처분 내용, 그리고 내 정보가 유출됐는지 확인하는 방법까지 이 글 하나로 정리해드리겠습니다.

사건은 어떻게 시작됐나

이번 사고의 발단은 지난해 9월로 거슬러 올라갑니다.

'펨토셀'이라는 불법 소형 기지국이 문제였습니다.

펨토셀은 원래 실내 통신 음영지역의 신호를 보완하기 위해 쓰이는 소형 기지국 장비인데, 이걸 불법으로 설치해 인근 이용자들의 단말기 신호를 가로챈 겁니다.

이 불법 기지국을 통해 이용자 1만 6,647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 3종의 정보가 빠져나갔습니다.

문제는 여기서 끝나지 않았습니다.

이렇게 유출된 정보를 이용해 368명의 이용자에게 약 2억 4,000만원 상당의 무단 소액결제 피해까지 발생했습니다.

단순히 정보가 새어 나간 수준이 아니라, 실제 금전적 피해로 이어졌다는 점에서 사안의 무게가 달라집니다.

조사 방해 정황, 왜 문제가 됐나

이번 처분에서 특히 주목해야 할 부분이 있습니다.

바로 KT가 조사에 협조하지 않고 오히려 방해했다는 정황입니다.

개인정보보호위원회는 KT의 이런 행위를 조사 방해로 판단해, KT 법인을 형사 고발하기로 결정했습니다.

여기에 더해, 정보 유출 정황이 있는 서버를 조사 착수 전에 폐기한 LG유플러스에 대해서도 별도로 수사를 의뢰했습니다.

한 회사의 문제가 아니라, 통신업계 전반의 사고 대응 방식에 문제가 있다는 뜻으로도 읽힙니다.

실제로 지난해 국회 청문회에서도 이와 비슷한 논란이 있었습니다.

KT는 한국인터넷진흥원(KISA)으로부터 해킹 의심 정황을 통보받은 이후, 원격상담시스템의 구형 서버 여러 대를 순차적으로 폐기했습니다.

당시 김영섭 KT 대표는 국회에 출석해 "은폐 의도는 없었다"고 해명했지만, 결과적으로 이번 조사 과정에서도 자료 제출이 미흡했던 정황이 다시 확인된 셈입니다.

개인정보보호위원회는 앞으로 이런 증거 은닉·삭제 행위에 대해서는 형사처벌과 함께 매출액 대비 과징금을 부과할 수 있도록 제도 개선도 추진하겠다고 밝혔습니다.

과징금 540억원, 어떻게 산정됐나

이번에 KT에 부과된 과징금은 정확히 539억 7,900만원입니다.

이 금액이 어떻게 정해지는지 궁금하신 분들을 위해 산정 방식을 설명드리겠습니다.

개인정보보호법상 유출사고 과징금은, 사고와 직접 관련된 매출액의 최대 3% 범위 안에서 결정됩니다.

KT의 지난해 이동통신사업 매출액은 약 6조 8,000억원인데, 이번에 부과된 과징금은 이 매출액의 약 0.8% 수준입니다.

과징금 액수를 정할 때는 위반 행위의 중대성도 함께 고려됩니다.

개인정보보호위원회는 위반 행위를 '매우 중대한 위반', '중대한 위반', '보통 위반', '약간 위반' 네 단계로 나누는데, 중대성이 높을수록 적용되는 부과기준율도 올라갑니다.

 

왜 SK텔레콤보다 과징금이 적을까

이번 KT 과징금(540억원)은 앞서 있었던 SK텔레콤 유출 사고의 과징금(1,347억원~1,348억원)보다 800억원 이상 적습니다.

같은 통신사 개인정보 유출 사고인데 왜 이렇게 차이가 날까요.

개인정보보호위원회가 밝힌 이유는 크게 세 가지입니다.

1) 위반 행위의 중대성 차이

SK텔레콤 사건은 '매우 중대한 위반'으로 판정됐지만, KT 사건은 이보다 한 단계 낮은 '중대한 위반'으로 판정됐습니다.

2) 유출 규모의 차이

SK텔레콤 사고는 이용자 2,324만 4,649명의 정보가 유출된 대형 사고였습니다.

이에 비해 KT는 1만 6,647명으로, 규모 자체가 비교가 안 될 정도로 작습니다.

3) 유출 정보의 종류 차이

SK텔레콤은 휴대전화번호, IMSI, 유심 인증키 등 25종의 정보가 유출됐습니다.

반면 KT는 휴대전화번호, IMSI, IMEI 등 통신 서비스에 필요한 기본 정보 3종에 그쳤습니다.

참고로 최근 대규모 개인정보 유출로 화제가 됐던 쿠팡은 6,247억원의 과징금을 부과받은 바 있어, 유출 규모와 정보의 민감도가 과징금 액수를 좌우하는 핵심 변수라는 걸 다시 한번 보여줍니다.

나도 유출 대상인지, 이렇게 확인하세요

내 정보가 이번 유출 대상에 포함됐는지 궁금하신 분들은 다음 방법으로 확인하실 수 있습니다.

온라인으로 확인하기 KT닷컴의 개인정보 유출 대상 조회 페이지에서 본인인증 후 조회할 수 있습니다.

전화로 확인하기 24시간 운영되는 전담 고객센터(080-722-0100)로 문의하시면 됩니다.

알뜰폰을 이용 중이시라면 가입한 휴대폰에서 114로 연락하시면 되고, LG헬로비전이나 세종텔레콤 등 별도 사업자를 이용 중이시라면 각 사업자 고객센터로 문의하셔야 합니다.

방문으로 확인하기 가까운 KT 매장을 방문해서도 확인 가능합니다.

유출이 확인됐다면 이렇게 대응하세요

1) 유심 교체 서비스 신청 유출이 확인된 고객은 KT가 지원하는 유심 교체 서비스를 이용하실 수 있습니다.

유출이 확인되지 않았더라도, 혹시 모를 상황에 대비해 유심보호서비스에 미리 가입해두시는 것도 좋은 방법입니다.

2) 소액결제 내역 점검 본인 명의로 사용하지 않은 소액결제 내역이 있는지 꼼꼼히 확인하시고, 의심되는 내역이 있다면 즉시 신고하세요.

3) 보상 내용 확인 KT는 유출이 확인된 고객을 대상으로 보상 방안을 안내하고 있습니다.

• 무료 데이터 월 100GB 제공(5개월간)
• 15만원 상당의 단말 할인 또는 요금 할인 중 선택

소액결제 피해가 확인된 고객에게는 별도로 개별 연락을 통해 결제 청구 면제 등의 조치도 이뤄지고 있습니다.

4) 그 밖의 보안 서비스 활용 번호도용문자 차단 서비스, 명의도용 방지 서비스(패스 앱) 등 KT가 제공하는 추가 보안 서비스도 함께 활용하시면 2차 피해를 예방하는 데 도움이 됩니다.

5) 그래도 조치가 미흡하다면 통신사의 조치가 미흡하다고 느껴지신다면, 한국인터넷진흥원(KISA)이나 개인정보보호 종합지원포털을 통해 민원을 제기하실 수 있습니다.

이번 사건이 남긴 시사점

개인정보보호위원회는 이번 처분을 통해 중요한 원칙을 하나 분명히 했습니다.

개인정보 보호 의무는 데이터베이스나 웹서비스에만 해당하는 게 아니라, 이동통신 기지국이나 네트워크 장비 전반에도 적용된다는 겁니다.

이는 앞으로 통신 3사를 포함한 업계 전체가 네트워크 인프라 보안까지 훨씬 더 신경 써야 한다는 신호로 볼 수 있습니다.

실제로 비슷한 유형의 조사는 계속 진행 중입니다.

OTT 서비스인 티빙 역시 개인정보보호법 위반 여부로 조사를 받고 있고, 현재까지 파악된 유출 규모만 1,953만명에 달하는 것으로 알려져 있어 향후 처분 결과가 주목됩니다.

자주 묻는 질문

Q1. 저는 KT 고객인데, 유출 대상인지 어떻게 알 수 있나요? KT닷컴 조회 페이지, 전담 고객센터(080-722-0100), 가까운 KT 매장 세 가지 방법 중 편하신 방법으로 확인하실 수 있습니다.

Q2. 소액결제 피해를 봤는데 어떻게 해야 하나요? 먼저 KT 전담 고객센터로 피해 사실을 접수하시고, 결제 내역을 정리해두시면 처리가 더 수월합니다. KT는 피해가 확인된 고객에게 결제 청구 면제 등의 조치를 하고 있습니다.

Q3. 유출 대상이 아니어도 유심을 교체하는 게 좋을까요? 필수는 아니지만, 혹시 모를 2차 피해를 예방하는 차원에서 유심보호서비스에 가입해두시는 걸 권해드립니다.

Q4. 이번 과징금은 왜 SK텔레콤보다 적나요? 위반 행위의 중대성 판정 단계, 유출된 인원 규모, 유출된 정보의 종류가 모두 KT 쪽이 상대적으로 적었기 때문입니다.

마무리하며

이번 사건은 규모만 놓고 보면 SK텔레콤 사고보다 작지만, 조사 방해 정황과 실제 금전 피해까지 확인됐다는 점에서 결코 가볍게 볼 사안은 아닙니다.

KT를 이용 중이시라면, 오늘 안내해드린 방법으로 내 정보가 유출 대상에 포함됐는지 한 번 확인해보시길 권해드립니다.

혹시 주변에 KT를 이용하시는 분이 계시다면 이 글을 공유해서 함께 확인해보시는 것도 좋겠습니다.