개인정보보호위원회가 KT의 악성코드 감염 사건과 관련해 수사 결과에 따라 추가적인 과징금을 부과할 수 있다고 밝혔다. 펨토셀 사건 조사 과정에서 새로운 악성코드 감염 사고 정황이 확인된 만큼 별도 처분에 나설 방침이다. 아울러 서버 로그 삭제 등 조사 방해 혐의에 대해서는 고발 조치했다.
양청삼 개인정보보호위원회 사무처장은 30일 서울정부청사에서 열린 브리핑에서 "KT는 악성코드와 관련한 과징금 부과가 여전히 남아 있다. 행정 조사만으로는 증거 확보에 한계가 있어 수사 결과에 따라 새로운 사실이 확보되면 별도로 처분할 예정"이라고 밝혔다.
이날 개인정보위는 초소형 기지국 '펨토셀' 관리 부실로 이용자 1만6647명의 개인정보가 유출되고 고객 386명에게 약 2억4000만원의 무단 소액결제 피해가 발생한 KT에 539억7900만원의 과징금을 부과했다.
펨토셀 관리 부실을 조사하는 과정에서 지난 2024년 3월 KT 네트워크 내 서버 38대가 'BPFDoor' 등 악성코드에 감염된 사실도 드러났다.
개인정보위는 해커가 KT 임직원을 비롯한 협력사 일부 직원의 개인정보를 조회하고 유출한 정황을 파악했으나 당시 네트워크 로그기록 등이 남아 있지 않아 추가적인 사실관계는 확인하지 못했다. 이 과정에서 KT가 일부 서버의 로그를 삭제하는 등 조직적으로 침해사실을 은폐하고 거짓 진술을 했다고 보고 고발하기로 결정했다.
개인정보위는 조사 과정에서 증거를 은닉하거나 조사에 협조하지 않는 행위에 대해 엄정 대응하겠다는 방침을 밝혔다.
LG유플러스도 지난해 8월 미국 보안 전문지 '프랙'을 통해 제기된 개인정보 유출 사건과 관련해 개보위의 조사 착수 전 관련 서버의 운영체제를 재설치하거나 폐기한 혐의를 받고 있다. 개인정보위는 이를 공무집행방해로 보고 수사기관에 수사를 의뢰하기로 했다.
양 처장은 "사고 은폐와 조사 방해라는 일부 기업의 고질적인 관행에 대해 경종을 울리고 제도 개선을 통해 은폐 행위가 더이상 유리한 선택이 아니라는 점을 분명히 할 것"이라고 말했다.
개인정보위는 KT와 LG유플러스 사례를 계기로 조사 착수 전 은닉·폐기 행위에 대한 형사처벌 규정을 마련할 방침이다. 증거 은닉·폐기시 전체 매출액의 3%를 과징금으로 부과하고 신고포상금 도입하는 방안도 추진한다.
