KT 540억 vs SKT 1348억 … 개인정보 유출 과징금 차이 큰 이유는?

개인정보 유출 사고로 KT에 539억7900만원의 과징금이 부과됐다. 지난해 SK텔레콤에 내려진 1347억9100만원의 약 40% 수준이다. 두 사건 모두 이동통신 서비스 이용자의 개인정보 유출 사고였지만 과징금은 약 2.5배 차이를 보였다.

개인정보보호위원회는 유출 규모와 정보의 유형, 실제 피해 발생 여부, 사고 이후 조치 등을 종합적으로 반영한 결과라고 설명했다. KT 사고에서는 무단 소액결제 등 2차 피해가 발생했지만, 유출 규모와 정보의 민감도는 SK텔레콤 사고와 차이가 있었다는 판단이다.

개인정보위는 지난 29일 전체회의를 열고 개인정보보호법상 안전조치 의무를 위반한 KT에 과징금 539억7900만원을 부과하고 시정명령과 개선권고, 공표명령을 의결했다고 30일 밝혔다.

현행 개인정보보호법은 위반 행위와 관련 없는 매출을 제외한 관련 매출액의 최대 3% 범위에서 과징금을 부과하도록 규정하고 있다. KT의 경우 사고와 관련된 5G·LTE 이동통신 서비스 매출을 기준으로 과징금이 산정됐다. IPTV와 초고속인터넷 등 이번 사고와 직접 관련이 없는 사업 매출은 제외됐다.

과징금은 관련 매출액을 산정한 뒤 유출 규모와 정보의 성격, 실제 피해 발생 여부, 사업자의 과실 정도 등을 반영해 최종 결정된다. 피해 구제와 시정조치, 조사 협조 여부도 가감 요소로 적용된다.

KT와 SK텔레콤의 가장 큰 차이는 유출 규모다. KT에서 개인정보가 유출된 이용자는 알뜰폰 가입자를 포함해 1만6647명이다. 반면 SK텔레콤은 약 2300만명의 정보가 유출된 것으로 조사됐다.

유출된 정보의 유형도 달랐다. KT에서는 휴대전화번호와 국제모바일가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 3종이 유출됐다. SK텔레콤 사고에서는 유심(USIM) 인증키 등 인증정보가 포함돼 정보의 중대성이 더 크게 반영됐다.

반면 KT 사고는 개인정보 유출이 실제 금전 피해로 이어졌다는 점이 과징금 산정 과정에서 가중 요소로 반영됐다. 개인정보위 조사 결과 가입자 368명이 약 2억4000만원의 무단 소액결제 피해를 입었다.

양청삼 개인정보위 사무처장은 이날 브리핑에서 "2차 피해가 발생했다는 점은 위원들이 굉장히 심각하게 봤다"며 "다만 다른 사례와 비교하면 유출 규모가 상대적으로 작고 유출 정보도 휴대전화번호와 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등 3종에 불과했다는 점, 피해 보상과 시정조치에 신속하게 협조한 점 등을 종합적으로 고려했다"고 말했다.

이번 사고는 공격자가 유실된 KT 펨토셀에 저장된 인증서를 복사해 자체 제작한 펨토셀에 삽입한 뒤 KT 내부망에 접속하면서 발생했다. 공격자는 이용자 단말기와 통신망 사이에서 오가는 정보를 가로챘고, 이 같은 비정상 접속은 약 11개월간 이어진 것으로 조사됐다.

개인정보위는 KT가 비인가 펨토셀의 내부망 접속을 차단하지 못했고 장기간 이어진 비정상 접속도 탐지하지 못한 점을 안전조치 의무 위반으로 판단했다.

한편 개인정보위는 이번 개인정보 유출 사고와 별도로 KT의 악성코드 감염 사실 미신고와 로그 삭제, 허위 자료 제출 등 조사 방해 행위에 대해서는 고발하기로 했다.

LG유플러스에 대해서는 개인정보 유출 가능성이 있는 서버의 운영체제를 재설치하거나 서버를 폐기한 행위와 관련해 수사를 의뢰했다. 개인정보위는 수사 결과 새로운 사실이 확인될 경우 추가 조사와 제재 여부를 검토할 방침이다.

또한 개인정보위는 조사 착수 전에 이뤄진 증거 은닉·폐기를 직접 제재하기 어려운 현행 제도를 보완하기 위한 법 개정도 추진한다. 증거를 은닉하거나 폐기한 사업자에게 전체 매출액의 최대 3% 범위에서 별도 과징금을 부과하고, 증거보전명령과 이행강제금 제도를 도입하는 방안이 검토되고 있다.