KT|과징금 540억, 예상의 절반에 그친 이유

540억 과징금, 예상보다 절반

개인정보보호위원회가 29일 전체회의를 열고 KT에 과징금 539억7900만원을 부과했습니다. 지난해 불법 초소형 기지국, 펨토셀을 이용한 해킹으로 이용자 1만6647명의 개인정보가 유출된 사고에 대한 제재입니다. 시장에서는 사고 성격과 피해 규모를 감안할 때 1000억원대 과징금을 예상했지만, 실제 부과액은 그 절반 수준에 그쳤습니다.

이 간극이 이번 사안의 첫 번째 질문입니다. 유출 규모와 실제 금전 피해가 함께 확인된 사고인데 왜 과징금은 시장 전망보다 크게 줄었을까요. 답은 위원회가 공개한 산정 기준 안에 있습니다.

개인정보위는 KT의 2022년부터 2024년까지 무선서비스 평균 매출 약 6조5000억원을 기준으로 과징금을 산정했습니다. 법상 상한은 관련 매출의 3%, 약 1930억원까지 가능했지만 실제 부과액은 그 28% 수준인 539억원에 머물렀습니다. 위원회는 KT가 2월부터 진행한 4500억원 규모의 고객 보상 프로그램과 신속한 시정 조치를 감경 사유로 반영했다고 설명했습니다.

SK텔레콤과 다른 '중대성' 판정

비교 대상은 지난해 SK텔레콤 유심 해킹 사고입니다. SK텔레콤은 가입자 약 2300만명의 유심 인증정보가 유출돼 무선매출의 약 1%인 1347억9100만원을 부과받았습니다. 개인정보위는 SK텔레콤 사고를 '매우 중대한 위반', KT 사고를 한 단계 낮은 '중대한 위반'으로 구분했습니다.

위원회 양청삼 사무처장은 그 근거로 유출 규모와 정보 유형의 차이를 들었습니다. KT의 확인된 유출 규모는 1만6647명으로 SK텔레콤보다 훨씬 작고, 유출된 정보도 휴대전화번호와 가입자식별번호, 단말기식별번호 세 종류에 그쳐 인증정보 자체는 포함되지 않았다는 설명입니다.

여기서 판단이 갈리는 지점이 드러납니다. 인증정보가 빠졌다는 이유로 KT의 위반 등급이 낮게 매겨졌지만, 정작 이용자 368명에게 2억4000만원 상당의 무단 소액결제라는 실제 금전 피해가 발생한 쪽은 SK텔레콤이 아니라 KT였습니다. 위원회 스스로도 이 점을 두고 위원들 사이에 치열한 논의가 있었다고 밝혔습니다. 유출 정보의 종류로 중대성을 가릴지, 실제 피해 발생 여부로 가릴지에 대한 기준이 완전히 정리되지 않은 채 이번 처분이 내려진 셈입니다.

끝나지 않은 리스크, 조사 방해 고발

이번 과징금과는 별도로 더 무거운 리스크가 남아 있습니다. 개인정보위는 조사 과정에서 KT가 2024년 3월 서버 38대의 악성코드 감염 사실을 인지하고도 정부에 신고하지 않은 정황을 확인했습니다. 이후 지난해 4월 전수점검 과정에서는 침해가 발생한 서버 10대의 로그를 삭제하고, 조사 초기에는 관련 자료가 없다고 진술했다가 디지털포렌식으로 삭제 정황이 드러나자 뒤늦게 로그를 제출한 사실도 확인됐습니다.

위원회는 이 행위를 조사 방해로 규정하고 KT를 수사기관에 고발했습니다. 이번 539억원 과징금에는 포함되지 않은 별개 사안으로, 양청삼 사무처장은 악성코드 감염 사건이 아직 종료되지 않았으며 수사를 통해 새로운 사실이 확인되면 별도 처분이 있을 수 있다고 밝혔습니다.

결국 이번 처분으로 KT의 리스크가 완전히 마무리된 것은 아닙니다. 취임 4개월차인 박윤영 대표는 전임 체제에서 발생한 사고의 과징금을 그대로 떠안았고, 의결서를 검토한 뒤 행정소송 여부를 결정할 예정입니다. 게다가 별도로 진행 중인 악성코드 감염 사건의 수사 결과에 따라 추가 처분이 나올 가능성도 열려 있습니다. 이번 540억원은 이번 사안의 끝이 아니라, 아직 결론이 나지 않은 두 번째 리스크의 출발점에 가깝습니다.