KT 개인정보 유출 제재, 1만6647명 피해에서 확인된 정보와 후속조치

개인정보보호위원회는 KT의 불법 펨토셀 관련 개인정보 유출사고에 대해 2026년 7월 29일 제재처분을 의결했고, 7월 30일 조사결과를 공개했습니다. 조사에서 중복을 제외한 실제 정보주체 1만6,647명의 휴대전화번호·IMSI·IMEI가 유출됐고, 368명을 대상으로 약 2억4천만원의 무단 소액결제 피해가 확인됐습니다. 이번 사건은 개인정보가 외부로 빠져나간 데 그치지 않고 SMS·ARS 인증 탈취와 실제 금전 피해까지 이어졌다는 점에서 단순 유출사고와 구분해 봐야 합니다.

유출된 정보가 무엇이었나

개인정보위의 2026년 7월 30일 보도자료 ‘개인정보위, ㈜KT의 개인정보 유출사고 제재처분 의결’은 유출정보를 휴대전화번호, 가입자식별번호인 IMSI, 단말기식별번호인 IMEI로 확인했습니다. 당초 신고된 인원에는 법인이나 다중회선 중복 등이 포함돼 있었고, 위원회 조사에서 중복을 제거한 실제 정보주체 규모를 1만6,647명으로 산정했습니다.

IMSI는 이동통신망에서 가입자를 식별하는 정보이고 IMEI는 휴대전화 단말기를 식별하는 번호입니다. 일반 이용자에게 익숙한 이름이나 주민등록번호가 직접 열거되지 않았다고 해서 중요도가 낮은 정보라고 볼 수 없습니다. 이동통신망의 인증 과정과 결합될 경우 통신서비스 악용으로 이어질 가능성이 있기 때문입니다.

확인 항목 | 개인정보위 조사결과 | 의미

유출 인원 | 16,647명 | 중복 제거 후 실제 정보주체

유출 정보 | 휴대전화번호·IMSI·IMEI | 가입자·단말 식별 관련 정보

금전 피해 | 368명, 약 2.4억원 | 무단 소액결제로 확인된 피해

제재 | 과징금 539억7,900만원 | 안전조치 의무 위반 등에 대한 처분

펨토셀이 왜 핵심 쟁점이 됐나

펨토셀은 지하·건물 내부처럼 이동통신 신호가 약한 곳의 음영지역을 줄이기 위해 설치하는 소형기지국입니다. 개인정보위 조사결과에 따르면 해커는 유실된 KT 펨토셀에서 인증서를 확보해 자체 제작 장비에 심고 KT 이동통신망에 접속했습니다. 이후 이용자 단말이 해당 장비를 거치도록 유도해 송수신 정보를 가로챈 것으로 조사됐습니다.

위원회는 KT가 펨토셀 인증서 유효기간을 장기간 설정하고, 내부망 접속 IP 제한과 비인가 장비 이상접속 탐지 등 기본적인 접근통제 관리를 충분히 하지 않았다고 판단했습니다. 자체 제작 펨토셀이 장기간 내부망에 접근하는 동안 이를 탐지하지 못했다는 조사결과도 제시됐습니다.

사건을 ‘휴대전화가 직접 해킹된 것’으로만 이해하면 구조를 잘못 파악할 수 있습니다. 핵심은 이동통신 네트워크와 연결되는 소형기지국의 인증·접근통제 관리가 뚫리면서 이용자 정보와 인증수단이 악용됐다는 데 있습니다.

소액결제 피해는 어떻게 발생했나

개인정보위는 해커가 펨토셀을 통해 확보한 정보와 추가 개인정보를 결합해 휴대전화 소액결제를 요청하고, 결제인증코드가 포함된 ARS와 SMS를 탈취한 것으로 확인했습니다. 이 과정에서 368명에게 약 2억4천만원 상당의 무단 소액결제 피해가 발생했습니다.

따라서 이용자 입장에서는 과거 개인정보 유출 통지만 확인하는 데 그치지 않고 당시 소액결제 내역이나 통신사 안내를 함께 확인할 필요가 있습니다. 다만 모든 KT 이용자가 이번 사고의 피해자였다고 확대 해석할 수는 없습니다. 본인의 유출 대상 여부와 보상·환급 관련 절차는 KT가 제공하는 공식 안내와 개별 통지를 기준으로 확인해야 합니다.

과징금 외에 어떤 후속조치가 내려졌나

개인정보위는 KT에 539억7,900만원의 과징금을 부과하는 한편, 펨토셀 등 무선통신망 장비 전반의 취약점 점검과 접근통제 강화, 개인정보 보호책임자 CPO의 책임·역할을 명확히 하는 거버넌스 정비 등을 요구했습니다. 관련 대책은 3개월 안에 수립·보고하도록 시정명령이 내려졌고, 사고가 발생한 이동통신 네트워크·시스템까지 ISMS-P 인증범위를 확대하도록 개선권고도 했습니다.

또 별도로 개인정보위는 KT의 2024년 악성코드 감염사고 관련 미신고와 로그 삭제, 조사과정의 거짓자료 제출 등 조사방해 행위에 대해서는 고발하기로 했습니다. 이는 펨토셀 유출 자체의 과징금 처분과 구분해서 볼 필요가 있습니다. 한 보도자료 안에 KT 펨토셀 사고, 과거 악성코드 감염 조사, LGU+ 관련 수사의뢰 내용이 함께 있어 사건을 섞어 전달하기 쉽기 때문입니다.

관련 Q&A

1만6,647명 모두 소액결제 피해를 본 건가요?

아닙니다. 개인정보위가 확인한 개인정보 유출 대상은 1만6,647명이고, 이 가운데 무단 소액결제로 확인된 금전피해는 368명 약 2억4천만원입니다. 유출 인원과 금전피해 인원을 같은 숫자로 이해하면 안 됩니다.

과징금이 피해자에게 나눠 지급되는 돈인가요?

과징금은 개인정보 보호법 위반에 대한 행정상 제재금입니다. 피해자 보상금과는 성격이 다르므로 539억7,900만원을 피해자 수로 나눠 지급하는 구조가 아닙니다. 개별 피해보상이나 분쟁조정 여부는 별도의 절차와 통신사 안내를 확인해야 합니다.

이번 조사결과를 볼 때는 유출 인원, 실제 금전피해 인원, 행정 제재금, 후속 시정조치를 각각 나눠 읽는 것이 중요합니다. 숫자를 한데 섞으면 사고 규모나 소비자가 취할 행동을 잘못 이해할 수 있습니다.