개인정보보호위원회는 KT의 펨토셀 관리 부실로 1만 6647명의 휴대전화번호, IMSI, IMEI가 유출됐고, 368명이 약 2억 4000만원의 무단 소액결제 피해를 입었다고 밝혔습니다. 해커는 유실된 KT 펨토셀에서 추출한 인증서를 불법 펨토셀에 심어 내부 통신 정보를 가로챈 뒤, 이름과 생년월일 같은 정보를 더해 결제를 시도했습니다.

문제는 피해가 발생한 뒤에야 발견됐다는 점입니다. KT는 인증서 유효기간을 10년으로 두고 IP 제한도 두지 않았으며, 비인가 셀 아이디의 이상 접속을 탐지하는 체계도 갖추지 못했습니다. 결국 별도 인증 절차 없이 내부망 접속이 11개월가량 이어졌고, 이용자 입장에서는 자신도 모르는 사이 결제 인증이 탈취되는 구조가 만들어졌습니다.

이번 제재에서 눈에 띄는 부분은 과징금 규모만이 아닙니다. 개인정보위는 KT가 전수 점검 과정에서 침해 서버 10대의 로그를 삭제했고, 초기 조사에서는 보존 자료가 없다고 진술했다가 뒤늦게 로그를 제출한 점까지 문제 삼았습니다. 단순한 사고 대응 미흡을 넘어, 조사 과정 자체의 신뢰를 흔든 것으로 본 것입니다.

여기에 KT의 로밍렌탈서비스 홈페이지 취약점과 38대 서버의 악성코드 감염, 그리고 신고하지 않은 채 자체 조치한 정황도 함께 드러났습니다. 개인정보 사고는 한 번의 침투로 끝나는 일이 아니라, 이후 기록이 남아 있는지와 그 기록이 보존되는지까지 포함해 평가된다는 점이 분명해졌습니다.

이번 사례가 중요한 이유는 보안 수준을 기술적 차단만으로 판단하기 어렵다는 사실을 보여주기 때문입니다. 침해 자체를 막지 못한 것도 문제지만, 사고 뒤 남아 있어야 할 기록이 사라지면 원인 규명과 추가 피해 확인이 더 어려워집니다. 그래서 개인정보 보호는 접속 차단뿐 아니라, 로그 보존과 신고 체계, 내부 조사 태도까지 포함하는 관리 문제로 읽혀야 합니다.

이런 관점은 다른 서비스도 다르지 않습니다. 사용자 정보가 오가는 시스템이라면 무엇을 저장하는지보다, 사고가 났을 때 무엇을 남기고 무엇을 공개할 수 있는지가 더 중요해집니다. 기능이 복잡할수록 운영 원칙은 더 단순하고 분명해야 하고, 숨겨진 예외가 많을수록 위험도 커집니다.

개인정보위가 이번 사건을 계기로 제도 개선까지 추진하는 것도 같은 맥락입니다. 조사 착수 전 증거를 은닉·폐기한 경우의 형사처벌, 매출액 연동 과징금, 신고포상금, 이행강제금, 자료보전명령 같은 장치는 모두 사고 뒤 책임을 더 명확히 묻겠다는 신호입니다.

이 변화는 기업에 더 큰 부담을 주기 위한 조치만은 아닙니다. 오히려 개인정보를 다루는 서비스라면 기본 설계 단계에서부터 기록 보존, 조사 대응, 외부 검증 가능성을 함께 설계해야 한다는 뜻에 가깝습니다. 보안은 더 이상 감추는 기술이 아니라, 드러내고 설명할 수 있어야 하는 운영의 문제입니다.