KT 개인정보 유출 과징금 얼마일까…2억4319만원 피해가 판 키웠다

KT 개인정보 유출 사고에는 어느 정도의 과징금이 부과될까? 피해 인원은 다른 대형 유출 사고보다 적지만, 탈취된 정보가 실제 무단 소액결제에 악용됐다는 점은 불리한 요소다. 개인정보위는 펨토셀 인증관리 부실과 금전 피해, 유출 정보의 종류, 사고 대응 과정 등을 종합해 제재 수위를 판단할 것으로 보인다.

제공된 자료에 따르면 개인정보보호위원회는 2026년 7월 29일 전체회의에서 KT 개인정보 유출 사고 제재안을 심의하고 30일 의결 결과를 발표할 예정이다. 다만 공식 의결문이 공개되기 전까지 구체적인 과징금 액수와 시정조치 내용은 확정된 사실로 볼 수 없다.

불법 펨토셀로 가입자 2만2227명 정보 노출

KT 개인정보 유출 사고는 불법 초소형 기지국이 통신망에 접속해 가입자와 단말기 식별정보, 소액결제 인증정보를 가로채면서 발생했다.

과학기술정보통신부 민관합동조사단은 20개의 불법 소형기지국을 거친 가입자 2만2227명의 국제이동가입자식별번호인 IMSI, 국제단말기식별번호인 IMEI, 전화번호가 노출된 것으로 파악했다. 이 가운데 368명에게서 777건, 총 2억4319만원 상당의 무단 소액결제 피해가 확인됐다.

펨토셀이란 건물 안이나 통신 음영지역에서 이동통신 품질을 높이는 초소형 기지국을 말한다. 조사단은 KT가 펨토셀마다 개별 인증서를 사용하지 않고 공통 인증서를 적용했으며, 인증서 유효기간도 10년으로 길게 설정했다고 밝혔다. 비정상 인터넷주소 차단과 장비 고유정보·설치장소 확인도 충분하지 않았다.

KT 불법 펨토셀 사고 피해 규모

KT 사고는 개인정보가 노출된 데 그치지 않고 수백 명의 실질적인 재산 피해로 이어졌다는 점에서 제재 수위를 높일 가능성이 있다.

자료: 과학기술정보통신부 민관합동조사단 중간 조사 결과(과학기술정보통신부, 2025).

개인정보보호법상 과징금 상한은 최대 3%

개인정보보호법은 개인정보 유출과 안전조치 의무 위반에 대해 산정 대상 매출액의 최대 3%까지 과징금을 부과할 수 있도록 규정한다.

현행 개인정보보호법 제64조의2는 개인정보가 분실·도난·유출된 경우 전체 매출액의 3%를 넘지 않는 범위에서 과징금을 부과할 수 있도록 한다. 다만 실제 산정에서는 전체 매출액에서 위반행위와 관련이 없는 매출액을 제외한다.

개인정보위의 과징금 부과기준은 산정 대상 매출액에 위반행위의 중대성에 따른 부과기준율을 적용해 기준금액을 정하도록 한다. 이후 피해 규모와 기간, 위반 횟수, 안전조치 노력, 사고 이후 대응 등을 반영해 가중하거나 감경한다.

원문에 제시된 KT 무선사업의 직전 3개 사업연도 평균 매출 약 6조5000억원에 3%를 단순 적용하면 약 1950억원이다. 그러나 개인정보위가 실제로 인정하는 산정 대상 매출액과 부과기준율이 확정되지 않은 만큼 이를 예상 과징금으로 단정해서는 안 된다.

KT 과징금에 영향을 미칠 주요 요소

과징금은 법정 최고액을 기계적으로 적용하는 방식이 아니라, 위반행위의 중대성과 실제 결과를 단계적으로 반영해 결정된다.

자료: 개인정보보호법 및 개인정보 보호법 위반에 대한 과징금 부과기준(개인정보보호위원회·법제처, 2026).

실제 금전 피해는 가장 무거운 가중 요인

KT 사고에서 가장 불리한 부분은 노출된 정보와 통신 인증정보가 범죄에 이용돼 가입자에게 직접적인 재산 피해가 발생했다는 점이다.

개인정보위 과징금 기준은 정보주체에게 피해가 없거나 피해가 경미하고 사업자가 위반을 시정한 경우 과징금을 부과하지 않을 수 있도록 한다. 반대로 수백 명에게 실제 재산 피해가 발생했다면 위반행위의 결과를 경미하다고 평가하기 어렵다.

민관합동조사단은 불법 펨토셀이 종단 간 암호화를 해제하면서 문자메시지와 자동응답전화 인증정보를 평문으로 가로챌 수 있었다고 판단했다. 개인정보와 통신 인증정보의 노출이 무단 결제로 이어질 수 있는 기술적 경로가 확인된 셈이다.

다만 범죄에 사용된 모든 개인정보가 KT 통신망에서 유출됐다고 단정할 수는 없다. 과징금 심의에서는 KT의 안전조치 위반과 실제 결제 피해 사이의 구체적인 인과관계가 어느 정도 인정되는지가 중요한 판단 요소가 될 전망이다.

펨토셀 관리 부실과 신고 지연도 변수

공통 인증서를 장기간 사용하고 비정상 접속을 제대로 차단하지 못한 KT의 펨토셀 관리 방식은 안전조치 의무 위반 판단에 불리하게 작용할 수 있다.

조사단은 KT에 공급된 펨토셀이 동일한 인증서를 사용해 인증서가 복제되면 불법 장비도 통신망에 접속할 수 있었다고 밝혔다. 장비별 고유식별번호와 설치장소가 등록 정보와 일치하는지도 제대로 확인하지 않았으며, KT가 아닌 외부 인터넷주소의 접속도 차단하지 않았다.

KT는 경찰로부터 무단 소액결제 피해 사실을 전달받은 뒤 이상 네트워크 흐름을 차단했지만, 불법 장비 계정을 확인한 이후에야 침해사고를 신고했다. 조사단은 신고가 지연됐다고 판단했다.

사고 이후 KT는 인증서 유효기간을 10년에서 1개월로 줄이고, KT 외 인터넷주소를 차단했으며, 장비별 인증서를 발급하도록 개선했다. 이 같은 후속 조치는 재발방지 노력으로 고려될 수 있지만, 사고 이전 안전조치 의무 위반을 없던 것으로 만들지는 않는다.

악성코드 감염 서버 43대 미신고도 불리

KT가 2024년 악성코드 감염 서버를 자체적으로 확인하고도 정부에 신고하지 않은 사실은 사고 대응과 보안관리 체계를 평가하는 별도 변수가 된다.

과기정통부 조사단은 KT가 2024년 3월부터 7월 사이 BPFDoor와 웹셸 등에 감염된 서버 43대를 확인했지만 정부에 신고하지 않았다고 밝혔다. 일부 서버에는 이름과 전화번호, 이메일주소, IMEI 등 개인정보가 저장돼 있었다.

이 43대는 원문에서 언급한 과거 미신고 감염 서버 수로, 불법 펨토셀 사고의 피해 장비나 전체 조사 서버 수와는 구분해야 한다. 해당 서버에서 개인정보가 실제 외부로 유출됐는지는 공식 조사에서 별도로 판단할 사안이다.

과거 악성코드 감염과 이번 펨토셀 사고가 동일한 공격에서 발생했다고 단정할 수는 없다. 다만 반복된 신고 지연이나 보안관리 미흡이 확인된다면 개인정보위가 기업의 관리체계와 주의 의무를 평가할 때 불리한 정황이 될 수 있다.

유심 인증키 미유출은 감경 가능 요소

KT 사고에서는 가입자식별번호와 단말기식별번호가 노출됐지만 유심 복제의 핵심 정보인 인증키 유출은 확인되지 않아 피해 확산 가능성이 제한적이었다.

SK텔레콤 사고에서는 휴대전화번호와 IMSI뿐 아니라 유심 인증키인 Ki와 OPc가 포함된 25종의 정보가 유출됐다. 개인정보위는 약 2324만명의 정보가 노출된 이 사고에 과징금 1347억9100만원을 부과했다.

KT 사고는 현재까지 공개된 정보상 유심 인증키가 유출되지 않았고 피해 인원도 2만2227명으로 SK텔레콤보다 적다. 유출 정보의 범위와 피해 규모만 비교하면 감경 가능성이 있다.

다만 실제 무단 결제 피해가 발생했다는 점에서는 KT 사고를 단순히 규모가 작은 유출 사건으로만 평가하기 어렵다. 정보의 민감성과 피해 인원, 실제 악용 결과는 각각 별도의 요소로 검토돼야 한다.

SK텔레콤·쿠팡 제재액과 단순 비교 어려워

KT 과징금을 다른 기업의 제재액과 비교하려면 유출 인원과 매출뿐 아니라 위반행위의 수, 정보 종류, 실제 피해와 관리 부실 수준을 함께 봐야 한다.

개인정보위는 SK텔레콤이 이동통신 핵심 네트워크와 시스템의 안전조치를 소홀히 해 약 2324만명의 개인정보와 유심 인증키 등이 유출됐다고 판단하고 과징금 1347억9100만원을 부과했다.

쿠팡과 계열사에는 개인정보 안전조치 의무 위반과 법적 근거 없는 정보 수집 등 복수의 위반을 반영해 쿠팡에 6246억8100만원, 쿠팡풀필먼트서비스에 2억4800만원의 과징금을 부과했다.

KT는 피해 인원과 유출 정보의 범위가 두 사고보다 제한적인 반면, 노출 정보가 실제 금전 피해로 이어졌다는 차이가 있다. 과거 사례의 매출 대비 비율만 KT에 그대로 적용해 과징금을 예상하는 방식은 정확하지 않다.

과징금보다 중요한 것은 통신망 안전조치

KT 제재의 핵심은 과징금 액수뿐 아니라 통신망에 연결되는 장비의 인증과 이상 접속 탐지, 침해사고 신고 체계를 어떻게 개선하도록 명령할지에 있다.

불법 펨토셀은 정상 통신장비로 위장해 KT 내부망에 접속했다. 인증서를 장비마다 분리하고 등록 정보와 실제 장비를 대조하며, 외부 인터넷주소의 비정상 접속을 즉시 차단하는 체계를 상시 운영해야 비슷한 사고를 막을 수 있다.

개인정보위는 과징금과 함께 안전조치 강화, 개인정보 보호체계 개선, 사고 재발방지 대책 제출 등의 시정명령을 내릴 수 있다. SK텔레콤 사고에서도 시스템 전반의 안전조치 강화와 개인정보 보호 거버넌스 정비, ISMS-P 인증범위 확대를 명령하거나 권고했다.

KT에 대한 최종 의결이 공개되면 과징금 액수만 확인할 것이 아니라 산정 대상 매출액과 위반행위, 가중·감경 사유, 시정명령 내용을 함께 살펴야 한다. 이 항목들이 개인정보위가 이번 사고의 중대성을 어떻게 판단했는지 보여주는 기준이 된다.