개인정보보호위원회가 지난달 29일 전체회의를 열어 KT에 과징금 539억 7천900만 원을 부과하고, 로그 삭제와 거짓 진술 등 조사 방해 행위에 대해 KT를 수사기관에 고발하기로 의결한 가운데 이번 처분을 둘러싸고 KT의 과거 규제기관 대응 방식이 재조명되고 있다.

7일 금융감독원 전자공시시스템 등에 따르면 KT는 2024년 공정거래위원회 담합 조사 당시 자진신고 제도를 활용해 과징금을 전액 면제받은 반면, 자진신고 감면 제도가 없는 개인정보 유출 조사 과정에서는 침해가 발생한 서버의 로그를 삭제하는 등 정반대의 행보를 보인 것으로 나타났다.

민관합동조사단 조사 결과 KT 서버 94대에서 BPFDoor 및 루트킷 등 악성코드 103종이 감염된 것으로 확인됐다. KT는 2024년 3월부터 7월 사이 서버 41대가 악성코드 26종에 감염된 사실을 인지하고도 정부에 신고하지 않았으며, 지난해 5월부터 9월 사이에도 서버 53대에서 악성코드 77종이 추가로 발견됐다.

이 과정에서 KT가 시스템 로그 보관 기간을 1∼2개월로 설정한 데다, 지난해 4월 서버 전수 점검 과정에서 침해가 발생한 서버 10대의 로그를 삭제해 정확한 유출 규모 규명에 한계를 남겼다. KT는 조사 초기 보존 자료가 없다고 진술했다가 디지털포렌식으로 삭제 정황이 나타나자 진술을 번복하고 별도 보관하던 로그를 제출했다.

확인된 피해는 불법 펨토셀 해킹으로 이용자 1만 6천647명의 휴대전화번호, 가입자식별번호(IMSI), 단말기식별번호(IMEI) 등이 유출되고 368명이 약 2억 4천만 원의 무단 소액결제 피해를 본 것으로 확정됐다. 과징금은 이렇게 확인된 피해 규모를 바탕으로 관련 매출액의 0.81% 수준에서 산정됐다. 법정 상한은 3%다.

개보위는 가입자 2천324만여 명의 유심 인증키가 유출된 SK텔레콤에는 지난해 8월 과징금 1천347억 원을 부과했다. SK텔레콤 사고는 ‘매우 중대한 위반행위’, 무단 소액결제 피해가 실제로 발생한 KT 사고는 한 단계 낮은 ‘중대한 위반행위’로 분류됐다. 확인된 유출 규모가 등급을 갈랐다.

이는 KT의 과거 공정위 제재 대응과 대조를 이룬다. KT가 지난 3월 제출한 2025사업연도 사업보고서를 보면 KT는 2024년 1월 이동통신설비 설치장소 상면 임차료와 관련한 4개 사업자의 부당한 공동행위로 과징금 86억 600만 원을 부과받았으나, 이행 현황란에는 “시정명령 이행(당사 자진신고로 과징금 면제)”이라고 기재돼 있다. 같은 보고서에는 5G 속도 광고 관련 과징금 139억 1천만 원과 이동통신 3사 판매장려금 담합 과징금 299억 1천900만 원도 올라 있으며, 두 건은 KT가 처분 취소를 구하는 행정소송을 진행 중이다.

공정거래법과 달리 현행 개인정보보호법에는 자진신고에 따른 감면 제도가 마련돼 있지 않다. 이에 따라 개보위는 조사 착수 전 증거를 은닉·폐기한 행위도 형사처벌할 수 있도록 규정을 마련하고, 증거를 은닉·폐기한 사업자에게는 전체 매출액의 최대 3%를 과징금으로 부과하는 방안을 추진하기로 했다.

과징금 540억 원은 KT의 지난해 연결 기준 영업이익 2조 4천691억 원의 2.2% 수준이다. 다만 KT는 2025사업연도 사업보고서와 올해 1분기 보고서에서 이번 사고와 관련해 “당사가 부담할 의무를 합리적으로 추정할 수 없습니다”라고 기재하며 충당부채 대신 우발부채 주석으로 처리했다. KT는 7일 현재 2분기 잠정실적을 공시하지 않은 상태로, SK텔레콤과 LG유플러스는 각각 지난 5일과 6일 2분기 실적을 공시했다.

이번 사고는 김영섭 전 대표 재임 기간에 발생했으며, 처분은 박윤영 대표 체제에서 확정됐다. 박 대표는 1992년 한국통신(KT 전신) 입사 이후 30여 년간 근무한 기업사업부문장 출신으로, 김 전 대표가 지난해 11월 연임을 포기한 뒤 후임으로 결정돼 지난 3월 정기 주주총회에서 선임됐다. 개보위는 수사 과정에서 추가 위법 사실이 확인될 경우 처분에 반영할 방침이다.