KT 펨토셀 해킹 사태, 역대 최고 540억 과징금…통신 인프라 보안 경종

국내 통신 역사상 최대 규모의 과징금이 부과됐다. 소형 기지국 장비의 인증체계 허점이 대규모 개인정보 유출과 금전적 피해로 이어지며, 통신 인프라 보안의 근본적 재점검이 요구되고 있다.

---

사건 개요: 펨토셀, 편의성이 보안 구멍으로

개인정보보호위원회는 지난달 KT에 대해 540억원의 과징금을 부과하고 관련자를 검찰에 고발했다고 밝혔다. 이는 개인정보보호법 시행 이래 단일 사건 기준 역대 최고 금액이다.

문제가 된 '펨토셀(Femtocell)'은 음영지역 해소를 위해 가정이나 소규모 사업장에 설치하는 초소형 기지국 장비다. 해커들은 이 장비의 인증체계 취약점을 파고들어 가입자 개인정보에 접근했으며, 유출된 정보를 악용해 피해자 명의로 무단 소액결제를 진행한 것으로 조사됐다.

개인정보위는 KT가 개인정보보호법 제29조(안전조치의무)를 위반했다고 판단했다. 특히 외부 접점이 되는 엣지 장비에 대한 접근통제와 인증체계가 본사 핵심 시스템 수준으로 관리되지 않았다는 점이 중대한 과실로 지적됐다.

---

침해사고 패턴 분석: 엣지 디바이스의 보안 사각지대

이번 사건은 최근 반복되는 침해사고의 전형적 패턴을 보여준다.

첫째, 공격 표면의 확장이다. 5G 시대를 맞아 펨토셀, IoT 게이트웨이, 엣지 서버 등 분산 장비가 급증하면서 기업의 보안 경계가 모호해지고 있다. 중앙 시스템에 집중된 보안 투자가 말단 장비까지 미치지 못하는 구조적 한계가 드러났다.

둘째, 인증체계의 설계 결함이다. 장비 간 통신에서 사용되는 인증 프로토콜이 초기 설계 단계부터 보안을 충분히 고려하지 않았던 것으로 분석된다. 이는 'Security by Design' 원칙의 부재를 여실히 보여준다.

셋째, 2차 피해의 확산이다. 단순 정보 유출에 그치지 않고 금전적 피해로 직결되면서 정보주체의 실질적 손해가 발생했다. 이는 과징금 산정에서 가중 요인으로 작용했다.

---

기업·기관 대응 방안

1. 자산 식별 및 위험평가 재정비
외부 접점이 있는 모든 장비를 자산목록에 포함하고, 위험평가 시 엣지 디바이스를 별도 항목으로 분류해 관리해야 한다.

2. 제로 트러스트 아키텍처 도입
내부 장비라도 무조건 신뢰하지 않는 '제로 트러스트' 관점에서 장비별 인증을 강화하고, 이상 트래픽을 실시간 탐지하는 체계를 구축해야 한다.

3. 침해사고 대응 모의훈련 확대
연 1회 이상 의무화된 모의훈련에 엣지 장비 침해 시나리오를 포함시켜 실질적인 대응 역량을 점검해야 한다.

4. 공급망 보안 계약 강화
장비 공급업체와의 계약 시 보안 요구사항을 명시하고, 정기적인 취약점 패치 의무를 규정해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

개인정보보호법 제29조(안전조치의무) 및 개인정보의 안전성 확보조치 기준 제5조(접근통제)와 직접 연결된다. ISMS-P 인증 심사 시 2.6.2 정보시스템 접근통제 항목에서 외부 접점 장비의 인증체계 적정성을 반드시 점검한다. 특히 원격 접속 장비에 대한 다중인증(MFA) 적용 여부와 비인가 접근 탐지 체계가 핵심 평가 요소임을 기억하자.

---

백남정 기자 namjung.baek@privacy-news.kr