KT 가입자 1만6000명 정보를 유출시킨 펨토셀 해킹 사건, 7월 29일 개인정보보호위원회가 과징금을 결정한다. SKT·쿠팡 과징금과 비교해 규모를 가늠한다.
댓글은 익명으로 작성되며, 삭제 비밀번호를 설정하면 본인만 삭제할 수 있습니다. 비밀번호를 설정하지 않은 댓글은 누구나 삭제할 수 있습니다.
2025년 9월, 서울 수도권 일부 지역 KT 가입자들의 휴대전화로 쓴 적 없는 소액결제 문자가 날아들기 시작했다. 그로부터 10개월 뒤인 2026년 7월 29일, 개인정보보호위원회 전체회의가 이 사건의 과징금 액수를 결정한다. 법정 상한만 약 2000억원이다.
피해자는 KT와 자회사 KT M모바일 가입자다. 유출된 정보는 IMSI(가입자식별번호)·IMEI(단말기식별번호)·전화번호로, 이를 이용해 공격자는 인증 문자와 통화를 가로챌 수 있었다.
보안뉴스는 이 사건을 세 갈래로 규정했다. 불법 기지국을 통한 유출과 소액결제, 국가 배후 조직이 개입했을 가능성이 있는 인증서 유출 정황, 그리고 별도의 서버 침해 사고다. 배후는 아직 공식적으로 특정되지 않았다.
핵심 침투 경로는 불법 초소형 기지국, 이른바 펨토셀 20대였다. 이 기지국들은 모두 동일한 인증서를 사용했고, 유효기간이 10년으로 설정돼 장기간 들키지 않고 접속을 유지할 수 있었다.
공격자는 단말기가 통신망에 등록되는 과정에서 오가는 메시지를 조작했다. 「암호화 지원」 신호를 「암호화 미지원」으로 바꿔치기해 단말과 기지국 사이의 종단간 암호화를 꺼버린 것이다. 이 상태에서 ARS·SMS 인증 정보가 암호화되지 않은 평문으로 오갔고, 공격자는 이를 그대로 가로챘다.
같은 시기 KT 서버 94대에서 악성코드 103종이 발견됐다. 펨토셀 침투와는 별개의 침해 경로로, 보안뉴스가 이 사건을 「3중 침해」로 부르는 이유다. 다만 펨토셀에서 얻을 수 있는 정보만으로는 소액결제에 필요한 이름·생년월일까지 확보하기 어렵다는 게 전문가들의 지적이다. 이전에 유출된 개인정보와 결합됐을 가능성이 제기되지만, 이 부분은 아직 확인되지 않았다.
같은 인증서를 쓰는 기지국 20대가 서로 다른 위치에서 동시에 신호를 내보내는 건 정상적인 통신 인프라 운영에서는 나오기 힘든 패턴이다. 기지국 인증서 재사용 여부를 지속적으로 추적했다면 이상 신호로 걸러졌을 가능성이 있다.
IMS 등록 과정에서 암호화 지원 여부가 「미지원」으로 바뀌는 흐름도 흔적을 남긴다. 특정 단말이나 경로에서 반복적으로 암호화가 다운그레이드된 상태로 등록된다면, 정상적인 네트워크 변화보다는 인위적 개입을 의심할 근거가 된다. 이런 다운그레이드 이벤트를 별도로 로깅하고 추적하는 체계가 있었다면 공격이 더 일찍 드러났을 수 있다.
최초 발표된 유출 인원은 2만2227명이었다. 이후 개인정보보호위원회 조사 과정에서 법인 회선과 중복 회선을 제외해 1만6000명으로 28% 하향 조정됐다. 무단 소액결제 피해는 368명, 총 2억4300만원 규모다. 초기 집계는 199명·1억2600만원 수준이었으나 조사가 진행되며 늘어났다.
KT는 2025년 12월 31일부터 2026년 1월 13일까지 보상안을 발표했다. 9월 1일 이후 해지한 가입자에게는 위약금을 소급 면제했다. 재직 중인 고객에게는 6개월간 매달 데이터 100GB와 OTT 이용권, 로밍 데이터 50% 추가 제공, 피싱·해킹 피해 보험 2년 무상 가입을 약속했다. 전체 규모는 약 4500억원이다.
이제 남은 건 정부 제재다. 개인정보보호법 제64조의2는 전체 매출액의 3%를 넘지 않는 범위에서 과징금을 매기도록 정한다. 위반의 정도와 기간, 위반으로 얻은 이익, 안전조치 이행 노력, 피해 회복 현황, 조사 협조 정도가 산정 기준이다. KT의 최근 3년 무선서비스 연평균 매출은 약 6조6689억원으로, 3%를 단순 계산하면 상한선은 약 2000억원이다. 다만 법인 회선이 제외됐고 피해 규모도 아래 비교 사례보다 작아, 실제 부과액은 이보다 낮을 것이라는 관측이 우세하다.
이번 심의는 현행 3% 기준으로 이뤄진다. 2026년 9월 11일부터는 고의·중과실에 의한 반복 위반이나 1천만 명 이상 피해 등에 한해 상한이 전체 매출액의 10%로 오르는 개정 개인정보보호법이 시행된다. KT 건은 종전 기준이 적용되는 사례에 해당한다. 무엇이 어떻게 바뀌는지는 개인정보 유출 과징금 매출 10% 개정에서 따로 정리했다.
2025년 SK텔레콤 유심 해킹은 2324만명의 IMSI와 유심 인증키가 유출된 사건으로, 개인정보보호위원회는 1348억원의 과징금을 부과했다. SK텔레콤은 이에 불복해 서울행정법원에 소송을 냈고, 그 결과가 KT 제재 수위에도 영향을 줄 것으로 전망된다. 2026년 6월 쿠팡은 3750만명의 개인정보와 1117만명의 타사 접속 활동기록까지 유출돼 SKT의 4.6배인 6247억원을 부과받았다. 개인정보보호위원회는 이를 두고 「고도의 해킹보다 기본적인 보안 관리 소홀」이라고 판단했다.
KT가 대규모 개인정보 유출로 도마에 오른 건 이번이 처음이 아니다. 2012년과 2014년에 이어 2023년 LG유플러스, 2025년 SK텔레콤까지, 통신 3사가 돌아가며 유사한 사고를 냈다. 통신사는 거의 모든 국민이 가입한 필수재라는 점에서 이 반복은 구조적 문제로 읽힌다.
2026년 9월 11일부터는 개정 개인정보보호법이 시행돼, 고의나 중과실로 대규모 유출이 발생하면 과징금 상한이 매출액의 10%까지 오른다. KT와 쿠팡 사건 모두 시행 전에 발생해 이번 상향 조항은 적용되지 않지만, 다음 사고부터는 부과액 규모 자체가 달라진다는 뜻이다. 법무법인들은 이번 사건을 계기로 몇 가지 실행 과제를 지적한다. 데이터 흐름 전수 점검, 퇴사자 계정·접근권한 회수, 신속한 사고 대응 체계, 외주·클라우드 인프라 감독 강화다.
7월 29일 전체회의에서 나올 숫자는 단순한 벌금이 아니다. 10개월 전 누군가의 휴대전화에 날아든 소액결제 문자 한 통이, 얼마짜리 결론으로 돌아오는지를 보여주는 지표다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.