KT 개인정보 유출사고 과징금 540억 확정…정부 고발로 추가 처분 우려

핵심 요약

- 개인정보보호위원회, KT 불법 펨토셀 통한 개인정보 유출사고에 과징금 540억원 부과 결정 - 무단 소액결제 피해 발생으로 정부 고발 조치까지 이뤄져 추가 형사처분 가능성 제기 - ISMS-P 인증 기업의 기술적 보호조치 및 접근통제 실패 사례로 업계 경각심 고조

주요 내용

개인정보보호위원회(이하 개보위)가 2026년 8월 KT의 불법 초소형 기지국(펨토셀) 운용으로 인한 대규모 개인정보 유출 사고에 대해 과징금 540억원을 최종 확정했다. 이번 사고는 통신사업자가 정상적인 보안 절차를 우회한 불법 펨토셀을 통해 가입자 정보에 무단 접근하고, 이를 통해 소액결제 등 2차 피해가 발생한 중대 사안으로 평가된다.

개보위는 과징금 부과와 함께 검찰에 고발 조치를 단행해 KT에 대한 추가 형사처분 가능성도 열어두었다. 과징금 540억원은 2026년 기준 국내 개인정보 유출 사고 중 최고 수준의 제재 금액으로, 통신사업자의 특수한 지위와 책임을 고려한 결정으로 풀이된다. 특히 ISMS-P 인증을 보유한 대형 통신사가 기본적인 기술적 보호조치조차 제대로 이행하지 않았다는 점에서 심각성이 크다.

불법 펨토셀은 정상적인 인증·암호화 절차를 거치지 않은 채 네트워크에 연결돼, 공격자가 중간자 공격(MITM)을 통해 통신 내용을 가로채거나 가입자 식별정보를 탈취할 수 있는 취약점을 내포한다. 이번 사고에서는 실제로 탈취된 개인정보를 이용한 무단 소액결제 피해가 확인됐으며, 피해 규모와 범위는 현재까지도 정확히 파악되지 않은 것으로 알려졌다.

업계에서는 이번 KT 사례가 ISMS-P 인증 기업의 사후관리 강화와 통신사업자에 대한 특별 감독체계 도입의 계기가 될 것으로 전망하고 있다. 개보위는 향후 유사 사고 재발 방지를 위해 통신사 대상 정기 점검 주기를 단축하고, 불법 장비 운용에 대한 모니터링 체계를 강화할 방침이다.

전문가 시각

ISMS-P 선임심사원 관점에서 이번 KT 사고는 인증 취득 이후 '유지관리 실패'의 전형적 사례다. 많은 기업이 인증 취득 시점에는 관련 통제항목을 충족하지만, 이후 신규 장비 도입이나 업무 프로세스 변경 시 보안성 검토를 생략하는 경우가 빈번하다. 특히 펨토셀처럼 네트워크 인프라에 직접 연결되는 장비는 도입 전 보안성 평가, 암호화 프로토콜 적용, 접근통제 정책 수립이 필수적이나, 이번 사고는 이 모든 절차가 무시됐음을 보여준다.

기업 실무 담당자는 이번 사례를 통해 세 가지를 재점검해야 한다. 첫째, 신규 IT 자산 도입 시 정보보호 부서의 사전 승인 절차가 실질적으로 작동하는가. 둘째, 네트워크 장비에 대한 인벤토리 관리와 정기 점검이 이뤄지는가. 셋째, 이상 징후 탐지 시스템(IDS/IPS)이 비인가 장비 연결을 실시간으로 감지할 수 있는가. ISMS-P 사후심사에서는 이러한 실질적 운영 여부가 핵심 검증 대상이 되고 있다.

ISMS-P 심사원 체크포인트

1. 2.8.2 네트워크 접근통제 (ISMS-P 인증기준)
- 네트워크에 연결되는 모든 장비는 사전 승인 절차를 거쳐야 하며, 비인가 장비 탐지·차단 체계 구축이 필수
- 심사 시 네트워크 구성도, 장비 인벤토리, MAC 주소 관리대장, 접근통제 정책 문서 및 실제 적용 로그 확인
- 관련 법조항: 개인정보보호법 제29조(안전조치의무), 정보통신망법 제28조(개인정보의 기술적·관리적 보호조치)

2. 2.5.3 시스템 및 서비스 도입·변경 관리
- 신규 시스템·장비 도입 시 보안성 검토(Security Review) 필수, 특히 개인정보 처리 시스템은 개인정보 영향평가 대상 여부 판단 필요
- 심사 시 도입 절차서, 보안성 검토 기록, 변경관리위원회 회의록, 테스트 결과서 등 증적 확인
- 관련 법조항: 개인정보보호법 제33조(개인정보 영향평가)

3. 3.1.4 개인정보 처리시스템 접근통제 (개인정보 보호조치)
- 개인정보 처리 시스템 접근 시 인증·권한 부여·로그 기록 3단계 통제 필수
- 펨토셀처럼 가입자 정보 접근 가능 장비는 개인정보 처리시스템에 준하는 통제 적용 필요
- 심사 시 접근권한 관리대장, 접근 로그, 이상접근 탐지 기록 등 점검

CPPG·ISMS-P 연계 포인트

네트워크 접근통제(NAC, Network Access Control)
ISMS-P 2.8.2 항목의 핵심 기술로, 네트워크에 연결 시도하는 장비의 MAC 주소, IP, 인증서 등을 검증해 비인가 장비를 자동 차단하는 보안 솔루션. 펨토셀 같은 불법 장비는 NAC 구축 시 연결 단계에서 사전 차단 가능. CPPG 시험에서는 NAC의 인증 방식(802.1X, MAC 주소 기반 등)과 ISMS-P 통제항목 매핑이 자주 출제됨.

개인정보 영향평가(PIA, Privacy Impact Assessment)
개인정보보호법 제33조에 따라 대규모 개인정보 처리 시스템 구축·변경 시 의무적으로 수행해야 하는 사전 평가 절차. 통신사의 펨토셀 도입은 가입자 위치정보·통신내역 등 민감정보 처리와 직결되므로 PIA 대상. ISMS-P 심사에서는 PIA 수행 여부와 권고사항 이행 여부를 필수 확인하며, CPPG 시험에서는 PIA 대상 기준(5만 명 이상 정보주체 등)과 절차가 핵심 출제 포인트.