2026년 7월 31일 금요일 발행
KT 펨토셀 해킹, 539억 과징금
개인정보보호위원회가 KT의 펨토셀 해킹 사안에 대해 539억7900만 원 과징금과 시정명령·개선권고·공표명령을 의결했어요. 침해사고 로그 삭제와 조사 과정의 사실과 다른 진술은 조사 방해로 보고, KT를 수사기관에 고발하기로 했어요.
제재 수위가 커진 배경에는 실제 피해 규모가 있어요. 개인정보는 1만6647명분 유출됐고, 해커가 결제인증 코드가 담긴 ARS·SMS 등을 탈취하면서 368명에게 2억4300만 원 규모의 무단 소액결제 피해가 발생했어요. 개인정보보호위원회는 개인정보 유출에 더해 금전 피해까지 확인된 점을 중대한 위반으로 판단했어요.
침입은 불법 펨토셀이 2024년 10월 8일~2025년 9월 5일 약 11개월 동안 KT 내부망에 접속한 흐름으로 설명돼요. 개인정보보호위원회는 KT가 펨토셀 인증서 유효기간을 10년으로 두고, 접속 IP를 제한하지 않았으며, 셀 ID도 제대로 관리하지 않아 이상 접속을 걸러내지 못했다고 봤어요.
이와 별도로 개인정보보호위원회는 2024년 3월 악성코드에 감염된 서버 38대와 지난해 4월 로그가 삭제된 침해 서버 10대를 확인했다고 밝혔어요. KT에는 3개월 안에 시정명령을 이행하라는 요구가 내려졌고, 별도 악성코드 감염 건은 추가 사실관계 확인이 더 이어질 예정이에요.
체리 두 조각
KT 쪽에는 과징금 액수 자체보다 3개월 안에 보안 체계를 다시 손봐야 한다는 부담이 더 크게 다가갈 수 있어요. 처음 신고한 2만2227명과 다시 산정된 1만6647명 사이 차이까지 겹치면서, 사고 범위를 더 정교하게 가려내고 재발 방지 절차를 맞추는 일이 우선 과제로 보이거든요.
개인정보보호위원회 쪽에는 단순 유출 통계보다 책임을 얼마나 무겁게 물을지가 핵심으로 읽혀요. 과징금이 매출 평균의 0.8% 수준에 그친 점까지 놓고 보면, 보안관리 소홀과 조사 방해가 함께 확인된 사안에는 강한 제재 신호를 남겨야 한다는 계산이 깔려 있어요.
📖 용어 한 입
- 펨토셀
- 건물 안처럼 이동통신 신호가 약한 곳에서 쓰는 초소형 기지국이에요. 인터넷 회선에 연결해 실내 통화 품질을 높이지만, 인증·접속 관리가 허술하면 내부망 침입 경로가 될 수 있어요.
💬 한 입 더 알아보기
- Q. KT 펨토셀 해킹으로 확인된 피해 규모는 얼마인가요?
- 개인정보는 1만6647명분 유출됐고, 368명에게는 2억4300만 원 규모의 무단 소액결제 피해가 발생했습니다.
더 읽기
방금 읽은 내용, 10초 퀴즈 🍒
이 카드 내용, O일까요 X일까요? 가볍게 확인해보세요.
Q1. 개인정보보호위원회는 KT의 내부망 침해와 조사 방해 정황을 함께 보고 강한 제재를 의결했다.
Q2. 이번 제재가 커진 핵심 배경에는 개인정보 유출만 있고 금전 피해는 확인되지 않았다.
Q3. 개인정보보호위원회는 펨토셀 인증과 접속 통제가 허술해 이상 접속을 걸러내지 못했다고 봤다.