개인정보위, 펨토셀 해킹 KT에 과징금 540억 부과하고 조사 방해로 고발, LG유플러스는 수사의뢰

무슨 일인가

개인정보보호위원회(개인정보위)는 2026년 7월 29일 제15회 전체회의에서 KT의 개인정보 유출 사고에 대해 과징금 539억 7,900만 원과 시정명령, 개선권고, 공표명령을 의결하고 이튿날인 30일 이를 발표했다.¹ 같은 자리에서 개인정보위는 조사 방해를 이유로 KT를 고발하고, 조사 착수 전 서버를 없앤 LG유플러스(LG U+)를 수사기관에 수사의뢰하기로 했다.¹ 이로써 2025년 8월 SK텔레콤(SKT)에 역대 최대 과징금이 부과된 데 이어 통신 3사 모두가 해킹 사고로 제재나 수사 대상이 됐다.²³

펨토셀로 뚫린 KT, 11개월간 무단 접속

개인정보위 조사에 따르면 해커는 분실된 KT 소형 기지국(펨토셀)에서 인증서를 추출해 자체 제작한 불법 펨토셀에 심은 뒤, 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월 동안 별도 인증 없이 KT 내부망에 접속했다.¹⁴ 이 과정에서 알뜰폰 이용자를 포함한 1만 6,647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출됐다.¹ KT가 처음 신고한 피해자는 2만 2,227명이었지만, 법인 회선과 한 사람의 복수 회선 등 중복을 제외해 숫자가 줄었다.¹⁴ 해커는 결제 인증용 문자와 자동응답(ARS) 전화를 가로채 368명에게 약 2억 4,000만 원의 무단 소액결제 피해를 입혔다.¹

개인정보위는 펨토셀 인증서의 유효기간이 10년이었고, 접속 IP 제한이 없어 타 통신사나 해외 IP로도 접속이 가능했으며, 펨토셀 관리 서버를 우회하는 경로가 존재했고, 셀 ID를 관리하지 않아 비정상 접속을 탐지·대응하지 못했다고 지적했다.¹⁴ KT는 해커가 직접 펨토셀을 만들어 신호를 가로챈 전례 없는 공격이라 예측이 어려웠다고 주장했지만, 개인정보위는 기본적인 안전조치만 했어도 막을 수 있었다며 받아들이지 않았다.⁴ 개인정보위는 "단순한 정보 유출을 넘어 실제 금전적 피해로 이어진 사례라는 점에서 그 심각성이 매우 크다"고 밝혔다.⁴

과징금은 왜 540억인가

과징금 산정 기준은 LTE와 5G를 합친 무선 매출이었고, IPTV나 인터넷처럼 사고와 무관한 매출은 제외됐다.⁵ 업계에서는 KT의 2022~2024년 이동통신 평균 매출 6조 8,476억 원을 기준으로 최대 2,054억 원까지 가능하다는 관측이 있었으나, 실제 부과액은 그 4분의 1 수준에 그쳤다.⁶ 개인정보위는 2차 피해 발생을 "굉장히 심각한 요소"로 봤다면서도, 유출 규모가 작고 유출 항목이 세 가지에 그쳤으며 피해 보상과 시정 조치에 빠르게 협조한 점을 감경 요인으로 반영했다고 설명했다.⁵⁶

SKT와의 차이에 대해 개인정보위는 SKT 사건은 유심 인증키 같은 인증 정보가 2,000만 명 넘게 유출돼 '매우 중대한 위반'으로 분류된 반면, KT 사건은 '중대한 위반'으로 등급이 달랐다고 밝혔다.⁵ 개인정보위는 SKT에 대해 2025년 8월 27일 제18회 전체회의에서 과징금 1,347억 9,100만 원과 과태료 960만 원을 의결했는데, 이는 2,324만 4,649명의 휴대전화번호·IMSI·유심 인증키 등 25종 정보가 유출된 사고에 대한 것이었다.² SKT는 2026년 1월 19일 서울행정법원에 과징금 취소 소송을 제기했으며, 사고 이후 보상안과 정보보호 혁신안에 총 1조 2,000억 원을 투입한 점과 금전적 피해가 없었다는 점을 내세우는 것으로 알려졌다.⁷

로그 지운 KT, 서버 없앤 LG유플러스

이번 고발의 근거는 펨토셀 사건과는 별개의 2024년 악성코드 감염 사고다. 개인정보위는 KT가 2024년 3월 로밍 임대 서비스 웹사이트의 취약점을 통해 BPFDoor 등 악성코드가 서버 38대에 감염된 사실을 알고도 정부에 신고하지 않고 내부적으로만 처리했으며, 2025년 4월 감염 서버 10대의 로그를 삭제했다고 밝혔다.¹³ KT는 조사 과정에서 보관 자료가 없다고 했다가 디지털 포렌식으로 삭제 정황이 드러나자 뒤늦게 로그를 제출했고, 개인정보위는 이를 실질적인 조사 방해로 판단했다.¹ 관리자 페이지에 대한 SQL 인젝션 공격으로 임직원과 협력사 직원의 이름, 전화번호, 계정 정보가 노출됐을 가능성이 있지만, 로그가 지워져 고객 정보 유출 여부는 확인하지 못했다.³ 개인정보위는 이 악성코드 건은 이번 과징금에 포함되지 않았으며 수사 결과에 따라 별도 처분이 예정돼 있다고 밝혔다.⁵³

LG유플러스의 경우 2025년 8월 미국 보안 매체 프랙(Phrack)이 임직원·협력사 직원의 이름과 계정 정보가 담긴 파일을 공개했고, 개인정보위는 이 자료가 LG유플러스의 통합 계정관리 시스템(APPM)에서 나온 것임을 확인했다.¹⁸ 그런데 LG유플러스는 개인정보위가 조사에 착수한 9월 10일보다 앞선 8월 12일과 14일 관련 서버의 운영체제를 재설치하고, 8월 25일 APPM 서버를 폐기했다.¹ 현행법의 조사 방해 조항은 조사 착수 전 행위에 적용하기 어려워, 개인정보위는 형법상 공무집행방해 해당 여부를 수사기관에 판단해 달라며 고발 대신 수사의뢰를 택했다.³ LG유플러스는 "이미 동일 사항에 대해 경찰 수사가 진행 중"이라며 수사에 협조하겠다고 밝혔다.⁹

맥락과 남은 물음

개인정보위는 이번 발표와 함께 제도 개선안을 내놨다. 조사 착수 전 증거를 인멸하거나 은닉한 행위에 대한 형사처벌 신설, 증거 은닉·인멸 사업자에 전체 매출액 3%의 과징금 부과, 신고 포상금, 조사 비협조나 시정명령 불이행 시 일 평균 매출액 0.3%의 이행강제금, 사고 발생 후 자료 보전 명령 도입을 연내 추진하겠다는 것이다.¹⁸ 송경희 개인정보위원장은 "사고 발생 시 자료를 은폐하거나 축소하는 행위가 기업에 중대한 불이익으로 돌아가도록 제도를 개선하여, 앞으로는 투명한 공개가 가장 합리적인 선택이라는 인식을 업계 전반에 뿌리내리도록 하겠다"고 말했다.¹

KT는 처분 결과를 무겁게 받아들이고 고객에게 사과한다면서도, 의결서를 받는 대로 내용을 검토한 뒤 입장을 정하겠다며 행정소송 가능성을 열어 뒀다.⁹ KT에는 3개월 안에 펨토셀 등 무선 장비 취약점 점검 결과와 개인정보 보호책임자(CPO)의 실질적 역할을 포함한 개선 계획을 보고하라는 시정명령과, 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 범위를 이동통신망까지 넓히라는 개선권고가 내려졌다.¹ 악성코드 사건에 대한 추가 처분 수위, LG유플러스 수사 결과, 그리고 SKT 소송의 향방은 아직 정해지지 않았다.³⁷

참고한 곳

1. 개인정보보호위원회, 개인정보위, '㈜KT의 개인정보 유출사고' 제재처분 의결 - https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12349 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴

2. 뉴시스, 고학수 개보위원장 "SKT 보안 체계, 장기간 허술한 상태였다"(종합) - https://www.newsis.com/view/NISX20250828_0003306783 ↩ ↩²

3. 뉴스토마토, 개인정보위 "로그삭제 KT 고발, 서버폐기 LGU+ 수사의뢰" - https://newstomato.com/ReadNews.aspx?no=1308727 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶

4. 노컷뉴스, 개인정보위 KT 제재 보도 - https://nocutnews.co.kr/news/6555782 ↩ ↩² ↩³ ↩⁴ ↩⁵

5. 디지털데일리, [일문일답] "KT 540억 과징금은 불법 펨토셀 건…악성코드 감염은 별도 처분" - https://www.ddaily.co.kr/page/view/2026073012244845693 ↩ ↩² ↩³ ↩⁴

6. 아시아투데이, '540억' 과징금 맞은 KT…재무 부담 덜었지만 증거 은닉 '꼬리표' - https://www.asiatoday.co.kr/kn/view.php?key=20260730010011330 ↩ ↩²

7. 보안뉴스, SKT, 개인정보 유출 과징금 1347억원 취소 소송 제기 - http://www.boannews.com/news/articleView.html?idxno=141569 ↩ ↩²

8. 한국경제, 해킹 피해 KT에 과징금 540억…서버 폐기한 LG유플은 수사 의뢰 - https://www.hankyung.com/article/202607305101g ↩ ↩²

9. 한국일보, 개인정보위 '무단소액결제' KT에 과징금 540억 원 - https://www.hankookilbo.com/news/article/A2026073016000003274 ↩ ↩²