KT에서 870만건의 개인정보유출 사건이 벌어졌다. 앞서 KT는 지난 3월 SK텔레콤과 함께 고객정보 20만여 건을 해킹당한 바 있음에도 제대로 된 대응을 하지 않은 것으로 드러났다. 경찰에 적발된 주범들은 휴대폰 텔레마케팅(TM) 업체에서 근무하던 직원. 경찰조사결과, 이들은 고객정보를 제공·판매해 모두 10억 상당의 부당이득을 챙긴 것으로 나타났다. 정작 KT는 정보유출이 일어나는 5개월 동안 이러한 일을 전혀 감지하지 못했다. 허술한 기업의 개인정보 관리. 그 대책은 없는지 살펴보았다.

이석채 KT회장

경찰청 사이버테러대응센터는 지난 7월 29일 최모(40)씨 등 2명을 정보통신망법위반 혐의로 구속하고 우모(36)씨 등 7명을 같은 혐의로 불구속 입건했다.

경찰에 따르면 최씨 등 2명은 지난 2월부터 이달 15일까지 고객정보를 자동 조회할 수 있는 해킹프로그램을 제작해 KT 영업시스템에 접속, 약 870만명의 휴대전화 고객들의 개인정보를 무단 조회·유출했다.

이들은 자신이 운영하는 TM사업에 활용하거나 다른 TM업체에 제공했으며 해킹프로그램을 우씨 등 3명에게 제공·판매하는 방법으로 모두 10억원 상당의 부당이득을 취했다.

TM사업을 운영하는 최씨 등은 KT고객정보 조회시스템에 접근해 고객정보를 해킹한 후 이를 휴대폰 텔레마케팅 사업 등에 활용할 목적으로 이같은 범행을 저질렀다고 경찰은 전했다.

우씨 등 4명은 4월12일부터 7월15일까지 월 사용료 200만∼300만원에 구입한 해킹프로그램으로 KT 영업시스템에 접속해 약 200만명의 휴대전화 고객들의 개인정보를 무단 조회·유출하고 이를 자신들이 운영하는 TM사업에 활용했다.

임모(33)씨 등 2명은 6월말 우씨로부터 해킹프로그램을 몰래 복제한 후 김모(44)씨에게 개인정보를 조회·유출할 수 있도록 전달·유포했다.

김씨는 전(前) KT직원으로 해킹프로그램을 분석해 네트워크 인증기능을 우회할 수 있도록 변조, 사용료를 내지 않고 KT 개인정보를 조회·유출해 TM업무에 활용하기도 했다.

이모(36·여)씨는 지난 4일부터 13일까지 이(32)씨가 해킹프로그램으로 조회·유출한 9만명의 KT 휴대전화 고객들의 개인정보를 제공받아 자신의 TM사업에 사용했다.

경찰 조사결과 IT업체 등에서 약 10년간 프로그램 개발 등 유지·보수 경험이 있는 전문 프로그래머 경력자인 최씨는 지난해 4월부터 TM사업을 하던 중 KT고객만을 상대로 TM사업을 하면 타사에 비해 이익이 많이 남는다고 판단, 해킹프로그램 제작을 계획한 것으로 드러났다.

경찰 관계자는 "최씨 등이 제작한 해킹프로그램은 다른 TM업체 구매자에게 판매하면서 아무나 복사해 사용할 수 없도록 네트워크 인증을 받도록 설계했다"며 "구매자들이 해킹프로그램을 실행해 KT 고객정보를 조회·유출할 경우 고객정보가 네트워크를 통해 실시간으로 고스란히 자신의 서버로 전송되도록 악성코드를 삽입했다"고 설명했다. 

KT는 이러한 사실을 전혀 감지하지 못했다. 일당은 단시간에 대규모 고객정보를 유출하지 않고 소량씩 장기적으로 유출하는 수법을 사용해 KT측의 눈을 속인 것으로 드러났다.

KT는 "고객들의 소중한 정보가 유출된 점에 대해 머리 숙여 사과한다며 추후 재발 방지에 노력하겠다"면서 "유사 사례 재발 방지를 위해 영업 시스템에 대한 개편작업을 앞당겨 추진하겠다"고 밝혔다.

KT는 "이번 일을 계기로 내부 보안시스템, 프로세스와 전 직원의 보안의식을 더욱 철저히 강화해 고객의 피해가 발생하지 않도록 최선의 노력을 다하겠다"고 덧붙였다. 

기술, 관리적 조치 필요

우리나라가 개인정보 유출로 몸살을 앓고 있는 가운데 정보 암호화, 악성코드 대응, 개인정보 노출점검 등 개인정보보호 시스템 강화가 필요하다는 지적이다.

30일 보안업체 안랩(옛 안철수 연구소)에 따르면 최근 5년간 포털·게임·통신업계 등 우리나라 주요 기업에서 유출된 개인정보는 약 1억2000만명 분에 이른다. 이는 우리나라 인구의 2배가 넘는 규모다. 통계청에 따르면 지난 23일 우리나라 인구는 5000만명을 넘어섰다.

문제는 기업의 개인정보 유출 피해가 2차, 3차 피해로 확대될 수 있다는 것이다. 인터넷 사용자 대부분이 포털과 금융 사이트에서 같은 아이디와 패스워드를 사용하는 경우가 많기 때문이다.

고객정보를 해킹 당한 기업은 집단소송에 휩싸이며 곤혹을 치르고 있다. 피해자 보상에 따른 금전적인 손실과 기업 이미지 실추 등에 따른 것이다. 네이트를 해킹당한 SK컴즈는 20여건의 손해배상청구소송에 걸렸다. 광고매출과 직결되는 미니홈피 싸이월드의 페이지뷰(PV)는 1년 사이 5분의 1(닐슨코리안클릭 기준)이 줄었다.

KT도 집단소송에 휘말릴 조짐이다. 네이버의 'KT공식해킹피해자카페'(cafe.naver.com/mastershop)는 지난 3월 개인정보 유출 피해보상을 요구하는 집단소송을 준비 중이다. 해당 카페에는 현재 1200여명 정도가 가입돼 있다. 여기에 최근 적발된 870만여건 개인정보유출 피해자들이 가세, 그 수가 늘어날 전망이다.

기업의 개인정보 유출이 잇따르고 있는 가운데 보안업체 관계자들은 기업의 개인정보 유출에 따른 피해 예방을 위한 기술적, 관리적 조치가 필요하다고 강조했다.

안랩 관계자는 "기업은 정보암호화, 악성코드 대응 등 기술적 조치와 개인정보 노출 점검, 개인정보 자가진단 등 관리적 조치가 필요하다"고 말했다.

기업은 자사가 보유한 개인정보를 파악해 불필요한 파일은 삭제하고 필요한 정보를 암호화해야 한다. 또 부서·직원별 개인정보 관리 현황을 집계, 통제할 수 있는 관리 솔루션을 마련해 개인정보 유출 상황에 발빠르게 대처해야 한다.

기업 내 PC마다 백신 프로그램 등을 설치하고 보안 관리를 철저히 해 악성코드로 인한 피해도 최소화 해야 한다.

보안 취약점을 해결해 주는 소프트웨어인 패치도 효율적으로 관리해야 한다. 기업에서 사용하는 운영체제(OS)나 애플리케이션의 보안이 취약 할수록 기업이 고객정보 유출 위험에 노출되는 범위와 수준도 높아지기 때문이다. 

말로만 엄중처단, 제재할 근거 없어

한편, 경찰은 이번 KT 고객정보 유출사건과 관련해 정보통신망법상 KT의 기술적·관리적 보호조치 의무 위반여부에 대해 수사를 확대할 방침이다.

경찰 관계자는 "수사과정에서 확보한 해킹프로그램을 분석, 구체적인 동작과 기능, 유출 수법을 KT측에 통보했다"며 "동일한 피해가 재발하지 않도록 당부하는 한편 SKT와 LGU+ 등 또다른 이동통신사에도 고객정보 조회시스템 보안을 강화해 줄 것을 권고했다"고 말했다.

방통위도 8월달 중 관련 조사를 마무리 짓고 KT의 과실 여부와 개인정보보호 관련 위법 사항이 확인되면 엄격하게 조치할 방침이다.

김광수 방통위 개인정보보호윤리과 과장은 "KT의 과실 책임이 있다면 행정처분과 사법적인 처벌이 가능하다"면서 "사안별로 처분 규정이 다르나 시정명령에서부터 과태료, 과징금까지도 부과할 수 있게 돼 있다"고 말했다.

이어 "이용자 동의 없이 정보를 수집했을 경우 매출액의 100분의1 가량의 과징금이 부과되고 이용자 보호조치를 취하지 않았을 경우 1억원 이하의 과징금이 부과된다"고 설명했다.

앞서 방통위는 KT에 개인정보가 유출된 이용자에게 해당 사실을 알리고 홈페이지에 개인정보 유출 사실을 공개토록 했다. 또 이통3사 임원들을 모아 긴급회의를 열고 고객정보조회시스템의 보안을 강화할 것을 주문했다.

김 과장은 "이통사 긴급 임원회의를 연 것은 내부 직원에 의해 개인정보가 유출될 가능성이 있고 대리점 또는 판매점을 통해 개인정보가 악용될 가능성이 있기 때문"이라면서 "이통사와 개인정보 관리 강화 방안을 강구 중"이라고 말했다.

이어 "KT와 방통위 개인정보 침해신고센터에서 이용자 개인정보가 악용돼 대포폰이 만들어졌는지, 부가서비스에 자신도 모르게 가입돼 있는지 여부 등을 모니터링하고 있다"고 말했다.
현재까지 유출된 개인정보가 검거된 텔레마케팅 업체 외에 추가로 이용된 내역은 나오지 않고 있다.

앞으로 방통위는 개인정보 유출을 막기 위해 이통사 대리점이나 판매점에 대한 불법영업 실태 점검을 강화할 계획이다.

하지만 최근 1320만여건을 유출당한 넥슨이 무혐의를 받는 등, 제재할 수 있는 법망이 준비되지 않아 실질적으로 솜방망이 처벌에 그칠 것이라는 지적이 이어지고 있다.
 

고승주 기자  sj.go@wsobi.com

<저작권자 © 여성소비자신문, 무단 전재 및 재배포 금지>