KT 펨토셀 유출 사고, 540억 역대 최고 과징금…ISMS-P 인증 무용론 불붙다

---

개인정보보호위원회가 KT에 역대 최고 수준인 540억원의 과징금을 부과했다. 소형 기지국 '펨토셀' 장비의 인증체계 허점을 노린 해킹으로 대규모 개인정보가 유출됐고, 이는 무단 소액결제 피해로 이어졌다. ISMS-P 인증을 보유한 기업에서 발생한 사고라는 점에서 인증제도의 실효성 논란이 재점화되고 있다.

---

사건 개요: 펨토셀 인증체계 허점 노린 대규모 침해

펨토셀은 통화 품질 개선을 위해 가정이나 소규모 사업장에 설치하는 초소형 기지국 장비다. 이번 사고는 해당 장비와 KT 중앙 서버 간 인증 과정에서 보안 취약점이 발견되면서 시작됐다.

공격자는 이 허점을 악용해 고객의 개인정보에 접근했고, 유출된 정보는 곧바로 무단 소액결제 범죄에 활용됐다. 피해 고객들은 자신도 모르는 사이 수십만 원대의 결제 피해를 입었으며, 일부는 피해 사실을 뒤늦게 인지해 2차 피해로 확산됐다.

개인정보보호위원회는 KT가 안전조치의무를 위반했다고 판단, 540억원의 과징금과 함께 관련자를 검찰에 고발하는 강경 조치를 내렸다.

---

핵심 쟁점: ISMS-P 인증 기업, 왜 뚫렸나

이번 사고에서 가장 주목받는 부분은 KT가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 보유한 기업이라는 점이다.

ISMS-P는 국내 최고 수준의 정보보호 인증으로, 취득과 유지에 상당한 비용과 노력이 소요된다. 그러나 인증을 받았음에도 대규모 침해사고가 발생하자 업계에서는 "인증이 형식적 절차에 그치는 것 아니냐"는 비판이 쏟아지고 있다.

전문가들은 ISMS-P 인증이 특정 시점의 보안 수준을 평가하는 것이지, 상시적인 보안 상태를 보장하지 않는다고 지적한다. 인증 취득 이후에도 새로운 서비스나 장비 도입 시 지속적인 위험 평가와 보완이 필수적이라는 것이다.

---

공통 패턴 분석: 신규 인프라의 보안 사각지대

최근 대형 침해사고들을 분석하면 공통된 패턴이 드러난다.

요소	문제점
신규 장비·서비스	기존 보안체계와 별도로 도입되어 점검 누락
인증 관리	장비-서버 간 인증 프로토콜 취약
모니터링	이상 징후 탐지 체계 미흡
사후 대응	피해 확산 후 뒤늦은 인지

펨토셀처럼 엣지 단말 장비는 중앙 시스템 대비 보안 투자가 상대적으로 적어 공격자들의 주요 타깃이 되고 있다.

---

기업·기관 대응 방안

첫째, 신규 인프라 도입 시 기존 ISMS-P 인증 범위에 포함시켜 통합 위험평가를 실시해야 한다.

둘째, 장비 간 통신에 상호 인증(Mutual Authentication) 및 암호화를 의무화하고, 정기적인 취약점 점검을 수행해야 한다.

셋째, 이상 거래 탐지 시스템(FDS)을 고도화하여 유출 정보의 2차 악용을 조기에 차단하는 체계를 구축해야 한다.

넷째, 침해사고 발생 시 72시간 내 신고 의무를 준수하고, 피해자 통지를 신속히 진행해 추가 피해를 최소화해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[개인정보의 안전성 확보조치 기준 제4조]

>

개인정보처리자는 개인정보처리시스템에 대한 접근권한 관리, 접근통제, 암호화 등 기술적 보호조치를 이행해야 한다. 특히 신규 시스템 도입 시에는 개인정보 영향평가(PIA) 또는 자체 위험분석을 통해 기존 보호체계와의 정합성을 검토해야 하며, 이는 ISMS-P 인증 심사 시 '위험관리' 영역의 핵심 점검 항목이다.

---

백남정 기자 | 개인정보보호 전문