2026년 7월 31일 금요일 발행
KT 펨토셀 해킹, 539억 과징금
개인정보보호위원회가 KT의 펨토셀 해킹 사안에 대해 539억7900만 원 과징금과 시정명령·개선권고·공표명령을 의결했어요. 침해사고 로그 삭제와 조사 과정의 사실과 다른 진술은 조사 방해로 보고, KT를 수사기관에 고발하기로 했어요.
제재 수위가 커진 배경에는 실제 피해 규모가 있어요. 개인정보는 1만6647명분 유출됐고, 해커가 결제인증 코드가 담긴 ARS·SMS 등을 탈취하면서 368명에게 2억4300만 원 규모의 무단 소액결제 피해가 발생했어요. 개인정보보호위원회는 개인정보 유출에 더해 금전 피해까지 확인된 점을 중대한 위반으로 판단했어요.
침입은 불법 펨토셀이 2024년 10월 8일~2025년 9월 5일 약 11개월 동안 KT 내부망에 접속한 흐름으로 설명돼요. 개인정보보호위원회는 KT가 펨토셀 인증서 유효기간을 10년으로 두고, 접속 IP를 제한하지 않았으며, 셀 ID도 제대로 관리하지 않아 이상 접속을 걸러내지 못했다고 봤어요.
이와 별도로 개인정보보호위원회는 2024년 3월 악성코드에 감염된 서버 38대와 지난해 4월 로그가 삭제된 침해 서버 10대를 확인했다고 밝혔어요. KT에는 3개월 안에 시정명령을 이행하라는 요구가 내려졌고, 별도 악성코드 감염 건은 추가 사실관계 확인이 더 이어질 예정이에요.
체리 두 조각
KT 쪽에는 과징금 액수 자체보다 3개월 안에 보안 체계를 다시 손봐야 한다는 부담이 더 크게 다가갈 수 있어요. 처음 신고한 2만2227명과 다시 산정된 1만6647명 사이 차이까지 겹치면서, 사고 범위를 더 정교하게 가려내고 재발 방지 절차를 맞추는 일이 우선 과제로 보이거든요.
개인정보보호위원회 쪽에는 단순 유출 통계보다 책임을 얼마나 무겁게 물을지가 핵심으로 읽혀요. 과징금이 매출 평균의 0.8% 수준에 그친 점까지 놓고 보면, 보안관리 소홀과 조사 방해가 함께 확인된 사안에는 강한 제재 신호를 남겨야 한다는 계산이 깔려 있어요.