KT, 해킹 사고 징계 D-1···역대급 과징금 현실화?

오는 29일, 개보위 전체회의···KT 과징금 결정금전적 피해·해킹 사실 은폐 등이 제재 관건"정부의 강경한 기조···가중되는 요소가 많아"

그래픽=이찬희 기자

KT의 개인정보 유출 사태에 대한 제재 결과가 임박한 가운데, 제재 수위에 관심이 쏠린다. 일각에서는 일부 이용자들에게 무단 소액결제 등 금전 피해까지 발생한 만큼 상당한 규모의 과징금이 부과될지 촉각을 곤두세우고 있다.

28일 업계에 따르면 개인정보보호위원회(개보위)는 오는 29일 전체회의를 열고 KT의 개인정보보호법 위반에 따른 과징금 부과와 시정명령 등 제재안을 심의·의결할 예정이다. 앞서 개보위는 지난 5월 조사를 마무리하고 KT에 처분 사전통지서를 발송했다. 송경희 개인정보위원장은 "책임에 상응하는 적절한 처벌을 내리기 위해 노력하겠다"고 말한 바 있다.

이번 KT에 대한 개보위의 제재는 지난해 9월 발생한 KT의 불법 초소형 기지국인 '펨토셀' 침해 사고가 그 원인이다. 침해 사고로 인해 2만2227명의 가입자 식별번호(IMSI), 단말기 식별번호(IMEI), 전화번호가 유출됐다. 이 과정에서 인증서 유효기간을 10년으로 설정하는 등 KT 펨토셀 관리 체계 전반이 부실했던 정황도 드러났다.

업계에서는 침해 사고 피해 고객 일부에게 실제 금전 피해가 발생한 점과 사고 과정에서의 사실을 은폐한 점 등이 제재 수위를 가를 핵심 변수가 될 것으로 보고 있다. 당시 침해 사고 2만2227명 중 368명은 777건에 걸쳐 약 2억4319만원의 무단 소액결제 피해를 입었다.

또 지난해 과학기술정보통신부 민관합동조사단은 KT가 2024년 3~7월 사이 BPF도어 등 악성코드에 감염된 서버 43대를 발견하고도 정부에 신고하지 않았다는 조사 결과를 발표했다. 이어 악성코드에 감염된 서버 43대를 조사 과정에서 자체 폐기한 사실 역시 확인됐다.

이 같은 정황을 고려해 업계에서도 KT에 대규모 과징금이 부과될 가능성이 높다고 보고 있다. 현행법상 개보위 과징금은 관련 매출액 위반행위의 중대성에 따른 부과 기준율(최대 3%)을 곱해 산정한다. 중대성 판단은 안전성 확보 조치 이행 노력, 위반 행위로 인한 정보 주체의 피해 규모 등을 종합적으로 고려한다.

그러나 이전부터 개보위는 개인정보 유출 사태에 대한 제재 수위를 높여야 한다는 기조를 보여 왔다. 이재명 대통령 역시 지난 16일 개보위 업무보고에서 기업의 개인정보 보호 활동을 유도하기 위해 제재금을 대폭 올리는 방안을 주문하기도 했다.

KT의 경우 이전에 일어난 사태인 만큼 소급 적용이 되지 않을 가능성이 크지만, 정부의 강경한 기조를 피하기는 어렵다는 의견도 나온다. 앞서 개보위는 지난 6월 쿠팡에 역대 최대 규모인 6247억원의 과징금을 부과했으며. SK텔레콤도 1348억원을 부과받으면서 대규모 개인정보 유출 사고로 강도 높은 제재를 받았다.

업계 한 관계자는 "정부의 강경한 기조가 느껴지고, 예전과는 다른 상황"이라며 "기존이라면 유출된 범위, 고객 수 등 산술적으로만 기준을 세우고 계산했을 수 있으나 금전적 피해, 은폐한 부분 등이 어떻게 평가되는지 등 가중되는 요소들이 있을 것"이라고 말했다.

김명주 서울여대 정보보호학과 교수도 "기업들에 대한 경각심을 주기 위해 지속적으로 제재 수위를 높이는 기조"라며 "(KT도) 수천억 규모의 과징금 등 그에 준하는 제재가 이뤄질 것 같다"고 밝혔다. 한편, KT 측은 별다른 입장이 없는 상황이다.