– 통신의 기본이 그만큼 망가졌다는 증거

– 과징금보다 무거운 것은 은폐로 인한 고발 조치

– 12조 원 투자 약속, 이번 처분을 마지막 경고표지로 삼아야

개인정보보호위원회가 7월 29일 전체회의에서 KT에 과징금 539억 7,900만 원을 부과하고 시정명령과 공표명령을 의결했다. 여기에 더해 사고를 신고하지 않고 로그를 삭제하고 위원회에 거짓 자료를 낸 행위에 대해 KT를 고발하기로 결정했다. 액수보다 무거운 것은 뒤쪽이다.

위원회가 확인한 KT의 관리 실태는 우리가 우려했던 수준을 넘어선다. 내부망 접속에 쓰이는 펨토셀 인증서의 유효기간을 10년으로 길게 열어 두고, 접속 아이피 제한도 걸지 않아 타사와 해외 아이피에서도 들어올 수 있게 운영했으며, 관리서버를 우회하는 경로가 있는데도 셀 아이디를 관리하지 않아 비인가 장비의 이상접속을 잡아낼 체계 자체가 없었다는 것이다. 그 결과 해커가 유실된 KT 장비에서 인증서를 복사해 만든 펨토셀이 2024년 10월 8일부터 2025년 9월 5일까지 열한 달 동안 KT 내부망을 드나들었고, 회사는 이를 끝내 탐지하지 못한 채 소액결제 피해 민원이 쌓인 뒤에야 비정상 접속을 확인했다. 이용자 16,647명의 휴대전화번호와 가입자·단말기 식별번호가 유출되고, 368명이 약 2억 4천만 원의 무단 소액결제 피해를 입었다.

그런데도 KT는 심의 과정에서 이 사고가 전례 없는 신유형이어서 예측과 대응이 불가능했다고 주장했다. 위원회는 안전조치 의무만 제대로 지켰다면 충분히 예방할 수 있었고 펨토셀 취약점은 해외 사례와 학계에서 오래전부터 지적돼 온 사안이라며 이를 받아들이지 않았다. 국가기간통신사업자가 규제기관 앞에서 내놓은 변명이 이런 것이었다는 사실에 KT의 구성원으로서 참으로 부끄럽고 죄송하다.

은폐는 더 심각하다. 위원회는 KT가 2024년 3월 서버 38대의 악성코드 감염을 인지하고도 정부에 신고하지 않고 넉 달간 자체 처리했으며, 2025년 4월 전수 점검 과정에서 침해 서버 10대의 로그를 삭제했고, 조사 초기에는 보존 자료가 없다고 진술했다가 포렌식으로 삭제 정황이 드러나자 진술을 번복했다고 밝혔다. 모두 전임 경영진 시절의 일이다. 사고를 감추는 편이 회사에 이롭다고 판단한 그 조직 문화에 대해, 우리는 사법당국의 엄정한 수사와 함께 당시 의사결정 라인에 대한 민·형사상 책임 추궁이 반드시 이뤄져야 한다고 본다.

이번 과징금은 결국 지난 몇 해 KT 경영진이 밀어붙인 탈통신 경영기조가 뒤늦게 날아온 청구서라 규정하지 않을 수 없다. ‘디지코’에서 ‘AICT’로 구호가 바뀌는 동안 통신 본업은 비용으로만 취급됐고, 네트워크 현장 인력은 자회사와 외주로 밀려났으며, 그렇게 비워진 자리마다 관리의 공백이 남았다. 아현국사 화재와 2021년 전국 인터넷 마비 때 지적했던 그 구조가 이번에는 보안에서 터진 것뿐이라는 지적이 KT 내부에서도 나오고 있다.

박윤영 대표는 지난 7월 6일 3년간 IT·네트워크·보안에 12조 원을 투자하고 보안 인력을 두 배로 늘리겠다고 밝혔다. 방향은 늦었지만 필요한 약속이고, 우리는 이 투자가 홍보자료가 아니라 현장의 인력과 설비로 도달하기를 기대한다. 다만 KT에는 요란한 구호로 시작해 조용히 사라진 사업이 한둘이 아니었다. 이번 처분은 KT가 다시는 같은 잘못을 반복하지 않도록 세워진 경고표지가 되어야 한다.

KT새노조는 앞으로도 현장에서, 회사가 기본에 충실하도록 목소리를 낼 것이다.

2026년 7월 30일 KT새노조