KT 개인정보 유출 과징금, 오늘 왜 결론 나나요?

개인정보보호위원회가 오늘(7월 29일) 전체회의를 열어 KT 개인정보 유출 사고의 과징금과 시정명령을 심의합니다. 작년 9월 펨토셀 해킹으로 가입자 2만2227명의 정보가 빠져나갔고 368명이 소액결제 피해를 봤는데, 최종 처분은 내일(30일)쯤 나올 전망이에요. 법정 상한은 2000억원 안팎까지 열려 있지만, 실제로는 SK텔레콤이 받은 1,348억원보다 낮은 수백억원대에 그칠 거란 관측이 많습니다.

가입자 2만2227명, 무슨 일이 있었나

사고는 작년 9월, 수도권 서남부 일부 지역에서 벌어졌습니다. 해커가 불법 펨토셀, 그러니까 초소형 기지국 장비를 몰래 설치해 놓고 근처를 지나는 KT 가입자들의 통신 정보를 가로챈 거예요. 이 방식으로 빠져나간 정보는 가입자식별번호(IMSI)·단말기식별번호(IMEI)·전화번호까지, 총 2만2227명분이었습니다.

펨토셀은 원래 통신사가 실내 전파가 잘 안 터지는 곳에 신호를 보강하려고 쓰는 초소형 기지국 장비인데, 이걸 불법으로 설치해서 악용하면 근처를 지나가는 스마트폰이 알아서 그쪽으로 붙잡힌다는 게 문제예요. IMSI는 통신사가 가입자를 구분하는 고유번호고 IMEI는 기기 자체를 특정하는 번호인데, 이 둘에 전화번호까지 겹치면 명의도용이나 본인인증 우회에 악용되기 딱 좋은 조합이거든요.

문제는 여기서 끝나지 않았습니다.

이 정보를 손에 넣은 누군가가 368명의 명의로 소액결제를 시도했고, 실제로 777건·약 2억4300만원 규모의 피해가 발생했습니다. 개인정보가 새어나간 것 자체도 심각한데, 그게 실제 금전 피해로 이어졌다는 점이 이번 사건을 더 무겁게 만드는 대목이에요. 저도 요즘 스팸 같은 문자만 와도 일단 심장부터 철렁하는 편인데, 실제로 결제까지 뚫렸다는 얘기를 들으면 남 일 같지가 않더라고요.

왜 사고 나고 10개월이나 지나서 결론이 날까요

사고는 작년 9월인데 처분은 왜 이제야 나올까요? 이런 대형 개인정보 유출 사건은 사실관계 조사부터 법 위반 여부 심의까지 시간이 꽤 걸리는 편이더라고요. 개인정보보호위원회는 오늘(7월 29일) 전체회의에서 KT의 개인정보보호법 위반 여부와 과징금·시정명령을 심의합니다. 최종 처분 내용은 내일인 30일경 공개될 전망이라, 사실상 오늘내일 사이에 이번 사건의 큰 그림이 정리되는 셈이죠. 위원회 심의는 서류만 훑고 끝나는 절차가 아니라 사고 원인과 책임 소재, 재발 방지 대책까지 함께 따지는 자리라 시간이 걸릴 수밖에 없더라고요.

(여담이지만, 이런 위원회 발표는 예정보다 하루이틀 늦어지는 경우도 종종 있으니 30일이 확정된 날짜는 아니라는 점도 염두에 두면 좋을 것 같아요.)

과징금, 얼마나 나올까 — SKT·쿠팡과 비교해보면

가장 궁금한 건 역시 액수일 텐데요. 개인정보보호법상 과징금 상한은 위반과 관련된 매출의 3%입니다. 이걸 KT의 최근 3년 무선서비스 평균 매출(약 6조4463억~6조6689억원 규모로 추산)에 그대로 적용하면 최대 1,930억~2,000억원대까지 나올 수 있는 계산이 나와요. 다만 이건 어디까지나 법이 허용하는 ‘위쪽 한계’고, 실제 처분은 그보다 한참 낮게 나오는 흐름이 이어져 왔습니다. 여기서 ‘위반 관련 매출’이란 KT 전체 매출이 아니라 유출 사고와 관련된 서비스 매출만 따진다는 뜻이라, 계산 기준을 어떻게 잡느냐에 따라 최근 3년 평균값 자체가 조금씩 달라질 수 있어요. 그래서 기사마다 6조4463억원, 6조6689억원처럼 살짝 다른 숫자가 나오는 거고요.

사례	과징금	관련 매출 대비 비율
SK텔레콤	약 1,348억원	약 1%
쿠팡	약 6,246억8,100만원	약 2%
KT (법정 상한 단순 적용 시)	약 1,930억~2,000억원대	3%(상한)

표만 보면 KT가 SKT·쿠팡보다 훨씬 높은 과징금을 받을 것처럼 보이지만, 이건 법이 정한 최대치를 그대로 대입했을 때 얘기예요. 실제로는 유출 규모가 SKT·쿠팡 사고보다 상대적으로 작았고, KT가 사고 직후 위약금 면제나 유심 무상교체 같은 조치를 발 빠르게 취한 점이 감경 요인으로 꼽히고 있습니다. 그래서 업계에서는 실제 과징금이 SKT가 받은 1,348억원보다 낮은 수백억원대에 머물 가능성을 더 높게 보는 분위기더라고요. 물론 소액결제로 실제 금전 피해가 발생했다는 점은 반대로 가중 요인이 될 수 있어서, 정확한 숫자는 결과가 나와봐야 확실해질 것 같습니다.

이미 유심도 바꿔주고 위약금도 면제해줬는데, 굳이 과징금까지?

이 대목에서 고개를 갸웃하게 되는 부분이 있어요. KT는 이미 알아서 이것저것 다 해준 것 같은데, 왜 정부가 또 과징금을 매기냐는 거죠. KT는 작년 11월 이사회 의결을 거쳐 전 가입자를 대상으로 유심을 무상 교체했고, 피해가 확인된 고객에게는 5개월치 데이터 100GB와 15만원 상당의 통신요금 할인·단말교체 지원을 얹어줬습니다. 여기에 3년간 통신금융사기 피해를 보장하는 ‘KT 안심보험’까지 만들었고, 이미 해지한 고객한테도 소급해서 위약금을 면제해줬어요.

얼핏 보면 할 건 다 한 것 같죠.

하지만 이건 KT가 자기 고객한테 자발적으로 베푼 보상이고, 정부가 매기는 과징금은 성격이 좀 달라요. 유심 교체나 요금 할인은 KT가 자기 비용으로 자기 고객한테 건넨 서비스인 반면, 과징금은 국고로 들어가는 돈이라 방향 자체가 다르거든요. 개인정보를 제대로 지키지 못해 법을 어겼다는 사실 자체에 대한 제재라서, 보상을 잘했다고 해서 법 위반 자체가 없던 일이 되는 건 아니라는 얘기죠. 다만 이런 사후 조치가 감경 사유로 반영될 여지는 있으니, 위원회가 이번 심의에서 어느 쪽에 더 무게를 두는지가 관전 포인트예요.

그래서 내일, 뭐가 나올지

저도 얼마 전에 낯선 번호로 인증 문자 한 통을 받고 며칠 신경 쓰였던 적이 있는데, 그때를 떠올리면 이번엔 액수 자체보다 위원회가 어떤 기준으로 감경·가중 요인을 저울질했는지가 더 눈에 들어와요. 유출 규모는 SKT·쿠팡보다 작았지만 실제 금전 피해가 났다는 게 다른 사고들과 결이 좀 다르거든요. 만약 과징금이 예상보다 낮게 나온다면 ‘사후 보상만 충분히 하면 처벌 수위가 낮아질 수 있다’는 신호로 읽힐 수 있고, 반대로 예상보다 높게 나온다면 실제 피해가 발생한 사고에는 더 엄격한 잣대를 댄다는 기준이 세워지는 셈이고요.

결과는 내일(30일)을 전후해 공개될 예정이니, 어떤 논리로 숫자가 정해졌는지는 그때 가봐야 확실해질 듯합니다. KT 이용자라면 안내 문자나 공식 발표를 한번 챙겨보시는 게 좋을 것 같아요. 이번 사건은 유출 규모만 놓고 보면 SKT나 쿠팡 사고보다 작은 축에 속하지만, 실제 소액결제 피해로 이어졌다는 점에서 규제기관이 ‘숫자의 크기’보다 ‘피해의 실재 여부’를 어떻게 저울질하는지 가늠해볼 만한 사례이기도 해요.