개인정보위, KT 무단 소액결제 사고에 과징금 539억원 부과... 2025년 최대 규모 제재

핵심 요약

- 개인정보보호위원회가 2025년 무단 소액결제 사고를 일으킨 KT에 539억7900만원 과징금 부과 - 개인정보 유출과 금융 피해가 결합된 대규모 사고로 통신업계 최대 규모 제재 - 통신사의 본인인증 및 결제 시스템 보안 관리 체계 전면 재점검 필요성 대두

주요 내용

개인정보보호위원회가 2025년 발생한 KT의 무단 소액결제 사고에 대해 539억7900만원의 과징금을 부과한 것으로 2026년 7월 30일 확인됐다. 이는 통신사를 대상으로 한 개인정보 보호 관련 제재 중 최대 규모로, 개인정보 유출과 실제 금융 피해가 결합된 심각성을 반영한 조치다.

무단 소액결제 사고는 통상 해킹이나 피싱을 통해 탈취한 개인정보를 이용해 본인 동의 없이 휴대폰 소액결제를 진행하는 수법으로 발생한다. KT 사고의 경우 대규모 고객 정보가 유출되고 이를 악용한 무단 결제가 광범위하게 이뤄진 것으로 추정된다. 개인정보보호법상 정보통신서비스 제공자는 이용자의 개인정보를 안전하게 관리할 기술적·관리적 보호조치 의무를 지며, 이를 위반할 경우 매출액의 3% 이하 또는 5억원 이하 과징금이 부과될 수 있다.

이번 제재는 단순 개인정보 유출을 넘어 실제 금전적 피해로 이어진 점, 통신사라는 기간통신사업자로서의 높은 보안 책임, 피해 규모의 광범위성 등이 종합적으로 고려된 것으로 분석된다. 특히 통신사는 본인인증 서비스를 제공하는 핵심 인프라 사업자로서 더 엄격한 보안 기준이 적용된다.

카카오 등 국내 빅테크 기업들이 AI 투자 확대와 조직 효율화를 동시에 추진하는 가운데, 개인정보 보호와 보안 투자는 절대 축소해서는 안 될 핵심 영역임을 이번 사례가 보여주고 있다. 디지털 전환이 가속화될수록 개인정보 침해 사고의 파급력은 더욱 커지고 있다.

전문가 시각

ISMS-P 인증심사 현장에서 통신사 및 대형 플랫폼 사업자의 소액결제 시스템을 점검해보면, 본인인증 프로세스의 다단계 검증 미흡, 이상거래 탐지(FDS) 체계의 한계, 개인정보 암호화 및 접근통제 미비 등이 반복적으로 발견된다. 특히 레거시 시스템과 신규 디지털 서비스가 혼재된 환경에서 통합 보안 관리가 제대로 이뤄지지 않는 경우가 많다. 이번 KT 사고는 단순히 특정 취약점 하나가 아니라, 개인정보 생애주기 전반에 걸친 보호조치 실패가 복합적으로 작용한 결과로 보인다.

기업들은 이번 사례를 계기로 ①개인정보 영향평가(PIA) 실효성 제고 ②실시간 이상거래 탐지 및 차단 체계 고도화 ③임직원 개인정보 접근권한 최소화 및 로그 모니터링 강화 ④고객 피해 발생 시 신속한 대응 및 보상 체계 구축 등을 재점검해야 한다. 특히 AI 기반 서비스 확대 시에도 개인정보 처리 단계별 보호조치를 선제적으로 설계하는 Privacy by Design 원칙을 철저히 준수해야 한다.

CPPG·ISMS-P 연계 포인트

과징금 산정 기준 (개인정보보호법 제34조의2): 개인정보 보호법 위반 시 매출액의 100분의 3 이하 또는 5억원(소상공인 등은 1억원) 이하 과징금이 부과되며, ①위반행위의 내용·정도 ②위반행위의 기간·횟수 ③위반행위로 인한 피해 규모 등을 종합적으로 고려하여 산정한다. 실제 금전 피해가 발생한 경우 가중 처분 대상이 된다.

정보통신서비스 제공자의 안전조치 의무 (개인정보보호법 시행령 제30조, ISMS-P 인증기준 2.9): 개인정보의 안전성 확보를 위해 ①접근통제 및 접근권한 제한 ②개인정보의 암호화 ③접속기록의 보관 및 점검 ④보안프로그램 설치·운영 ⑤물리적 접근 방지 등의 기술적·관리적·물리적 보호조치를 의무적으로 이행해야 하며, 특히 금융거래 연계 서비스는 강화된 인증 수단 적용이 요구된다.