개인정보보호위원회(위원장 송경희)는 7월 29일 전체회의를 열고 KT의 개인정보 유출 사고에 대해 과징금 539억 7,900만 원을 부과하고 시정명령, 개선권고, 공표명령을 의결했다. 또한 조사 과정에서 거짓 자료를 제출한 KT는 고발하고, 조사 착수 전 서버를 폐기한 LGU+는 수사 의뢰하기로 결정했다.
이번 사고는 KT가 운영하는 소형 기지국인 펨토셀을 통해 발생했다.
펨토셀은 통신 음영 지역 해소를 위해 설치된 KT 자산으로, 해커가 유실된 펨토셀의 인증서를 복사해 자체 제작한 펨토셀에 심은 뒤 KT 내부망에 접속했다. 이후 이용자 단말이 해커의 펨토셀을 경유하도록 유도해 통신 정보를 가로채고, 추가로 확보한 개인정보와 결합해 소액결제 인증코드를 탈취하는 방식으로 약 2.4억 원의 부정 결제를 발생시켰다.
조사 결과 KT 이용자 16,647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI)가 유출된 것으로 확인됐다.
개인정보위는 KT가 펨토셀 인증서 유효기간을 10년으로 장기 설정하고, 접속 아이피(IP) 제한을 하지 않았으며, 비인가 셀 아이디(Cell ID)에 대한 탐지·대응 체계가 부재한 등 접근통제 관리를 소홀히 했다고 판단했다.
KT는 2024년 3월 악성코드 감염 사실을 인지하고도 정부에 신고하지 않았고, 이후 조사 과정에서 로그를 삭제하고 거짓 자료를 제출하는 등 조사를 방해한 혐의로 고발 조치됐다. LGU+는 2025년 8월 개인정보 유출 사실이 알려진 후 조사 착수 전 관련 서버의 운영체제를 재설치하거나 폐기해 증거를 인멸한 점이 적발돼 수사 의뢰됐다.
개인정보위는 이러한 조사 방해 행위에 엄정 대응하기 위해 제도 개선을 추진한다.
현재 '조사 착수 전' 증거 은닉·폐기에 대한 제재 규정이 미비한 점을 보완해 형사처벌 규정을 마련하고, 증거 은닉·폐기 시 과징금(전체 매출액의 3%)을 부과하며, 신고포상금 지급 등의 방안을 검토 중이다.
