개인정보위 "로그삭제 KT 고발, 서버폐기 LGU+ 수사의뢰"

KT, 악성코드 감염 미신고·로그 삭제·거짓자료 제출로 조사 방해LGU+, 조사 착수 전 서버 OS 재설치·폐기…유출 경위 확인 막혀조사 전 증거인멸도 형사처벌 추진…매출 3% 과징금·자료보전명령 도입

[뉴스토마토 이지은 기자] 개인정보보호위원회가 악성코드 감염과 개인정보 유출 가능성을 인지하고도 관련 사실을 신고하지 않거나, 서버 로그를 삭제·폐기해 조사를 어렵게 한 KT(030200)와 LG유플러스(032640)에 대해 각각 고발과 수사의뢰를 결정했습니다. 개인정보 침해사고 이후 증거를 은닉하거나 폐기하는 행위가 기업에 유리하게 작용하지 않도록 형사처벌과 과징금 부과, 자료보전명령 도입 등 제도 개선에도 나서겠다는 방침입니다.

 

개인정보위는 30일 KT가 지난 2024년 발생한 악성코드 감염 사고를 정부에 신고하지 않고 일부 서버 로그를 삭제한 데 이어 조사 과정에서 거짓자료를 제출해 사고조사를 방해했다고 판단해 고발하기로 했다고 밝혔습니다. LG유플러스에 대해서는 개인정보위 조사 착수 전에 관련 서버의 운영체제를 재설치하거나 서버를 폐기해 정확한 유출 경위 확인을 어렵게 했다며 수사기관에 수사를 의뢰하기로 했습니다.

 

개인정보보호위원회 현판. (사진=개인정보위)

 

KT의 경우 펨토셀을 이용한 개인정보 유출 사고를 조사하는 과정에서 별도의 악성코드 감염 사실이 확인됐습니다. 개인정보위는 2024년 3월 KT IT서비스 네트워크 서버 38대가 백도어 악성코드인 BPF도어(BPFDoor) 등 다수의 악성코드에 감염된 사실을 확인하고 조사 범위를 확대했습니다.

 

조사 결과 해커는 KT 로밍렌탈서비스 홈페이지의 취약점을 이용해 내부망에 침투한 뒤 관리자 페이지를 대상으로 한 SQL 삽입 공격을 통해 일부 임직원과 협력사 직원의 이름, 전화번호, 계정정보를 조회한 정황이 확인됐습니다. 다만 사고 당시 네트워크 로그가 삭제돼 이용자 개인정보가 추가로 유출됐는지는 확인하지 못했습니다.

 

개인정보위는 KT가 2024년 3월 악성코드 감염 사실을 인지하고도 정부에 침해사고를 신고하지 않았으며, 이용자 개인정보를 처리하는 시스템이 포함된 서버를 자체 조치하는 데 그쳤다고 지적했습니다. 또 지난해 4월 내부 점검 과정에서 침해 서버 10대의 로그를 삭제했고, 조사 초기에는 관련 자료가 없다고 진술했다가 디지털포렌식으로 삭제 정황이 확인된 뒤 뒤늦게 로그를 제출한 것으로 조사됐습니다. 개인정보위는 이를 조사 방해 행위로 판단했습니다.

 

LG유플러스도 수사 대상에 올랐습니다. 개인정보위는 지난해 8월 미국 보안 전문지 프랙이 공개한 개인정보 유출 의혹과 관련해 조사한 결과, 유출된 텍스트 파일이 실제 회사의 통합 비밀번호 관리시스템에서 보관·관리하던 정보라는 사실은 확인했습니다. 그러나 조사 착수 전인 지난해 8월 관련 서버의 운영체제를 재설치하고 서버를 폐기하면서 유출 경위와 추가 피해를 확인할 수 없게 됐다고 판단했습니다.

 

KT와 LG유플러스에 대한 조치가 달라진 것은 증거 삭제·폐기 시점 때문입니다. KT는 개인정보위 조사 과정에서 거짓자료를 제출하는 등 조사 방해 행위가 확인돼 개인정보보호법에 따라 고발 대상이 됐습니다. 반면 LG유플러스는 개인정보위 조사 착수 이전 서버를 폐기해 현행법상 조사방해 조항을 적용하기 어려운 만큼 형법상 공무집행방해 여부를 판단받도록 수사를 의뢰했습니다.

 

양청삼 개인정보보호위원회 사무처장이 30일 정부서울청사에서 KT와 LG유플러스 개인정보 유출사고에 대한 조사 처분 결과에 대해 브리핑을 하고 있다. (사진=뉴스토마토)

 

수사 결과에 따라 추가 처분도 이어질 전망입니다. 양청삼 개인정보위 사무처장은 이날 진행된 브리핑에서 "KT는 전체회의에서 고발이 의결된 사안으로, 수사 과정에서 추가 위법 사실이 확인되면 처분에 반영할 예정"이라며 "LG유플러스 역시 행정조사만으로는 한계가 있어 수사를 의뢰한 것으로, 결과에 따라 후속 처분 여부를 결정하겠다"고 말했습니다.

 

개인정보위는 이번 사건을 계기로 조사 실효성을 높이기 위한 법 개정도 추진합니다. 앞으로 조사 착수 전 증거 은닉·폐기 행위도 형사처벌 할 수 있도록 관련 규정을 마련하고, 증거를 은닉하거나 폐기한 사업자에게는 전체 매출액의 최대 3%에 해당하는 과징금을 부과하는 방안을 추진합니다. 또 조사 비협조나 시정명령 불이행 시에는 일매출액의 0.3%를 이행강제금으로 부과하고, 침해사고 발생 시 자료보전명령과 내부 신고포상금 제도도 도입할 계획입니다.

 

통신사의 악성코드 감염 미신고와 조사자료 보전 문제는 앞서 SK텔레콤(017670) 해킹 사고에서도 불거진 바 있습니다. 과학기술정보통신부 민관합동조사단은 지난해 조사 결과를 통해 SK텔레콤이 2022년 악성코드 감염 사실을 인지하고도 정부에 침해사고를 신고하지 않았다고 밝혔습니다. 또 침해사고 원인 분석을 위한 자료보전명령에도 서버 2대를 포렌식 분석이 불가능한 상태로 임의 조치한 뒤 제출했다며 수사기관에 수사를 의뢰했습니다. 다만 개인정보위는 당시 해당 사안을 조사 과정에서 확인했지만, 이와 관련한 별도의 제재 조치는 하지 않았습니다.

 

이정은 개인정보위 조사2과장은 "SK텔레콤 사례도 당시 조사 과정에서 확인했던 사안"이라며 "다만 2022년 악성코드 감염은 유심 정보 유출 사고와는 별개의 과거 침해 사실로, 해당 유출 사고를 조사하는 과정에서 확인된 사례인 만큼 이번 KT 사건과는 사실관계와 성격이 다르다"고 설명했습니다.

 

이지은 기자 [e-mail]

이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김충범 테크지식산업부장이 최종 확인·수정했습니다.