KT가 개인정보 유출 사고로 540억원의 과징금을 부과받자, 제재의 형평성과 기준이 맞지 않다는 지적이 나오고 있다. KT 사고의 유출 규모는 1만6000명대이지만 실제 2차 소액결제 피해자가 300여명이 넘은 반면, 쿠팡과 SKT 사고는 유출 규모 자체는 컸지만 2차 피해 여부는 확인되지 않았기 때문이다. 상황이 이러다 보니 주요 온라인 공간에선 "쿠팡과 SKT 등과 비교해 차별 아니냐"는 목소리가 커지고 있다.
◇2차 피해 있어도..유출 규모 작으면 과징금 규모도 줄어든다?
30일 업계에 따르면, 이날 개인정보보호위원회는 KT 사건에 대해 과징금 539억7900만원과 시정명령·개선권고·공표명령을 의결했다. 통신국 소형 기지국이 해킹으로 악용돼 남의 휴대폰으로 소액결제까지 이뤄진 KT 가짜 기지국 문제에 최종 제재가 이뤄진 것이다. 개보위에 따르면, 해커는 2024년 10월부터 2025년 11월까지 KT 내부망을 오가며 알뜰폰 포함 이용자 1만6647명의 휴대폰 번호와 가입자, 단말기 식별번호를 탈취했다. 결제 인증 문자와 전화까지 훔쳐 368명에게 2억4000만원의 무단 소액결제 피해를 입혔다. 개보위에 따르면, KT는 펨토셀 인증서 유효기간을 10년으로 설정하고 접속 IP 등을 제한하지 않은 내부통제가 부실한 것으로 확인됐다.
이 같은 발표가 나오자 온라인 공간에는 쿠팡과 SKT 등과 비교해 차별 아니냐는 목소리가 개진됐다. 그동안 개인정보 유출 사고가 많았지만 KT처럼 2차 피해가 검증된 사례는 드물었기 때문이다. "쿠팡 과징금이 10배가 넘는다고?" "쿠팡은 그냥 개인정보지만 KT는 금융까지 다 털린 것 아니냐" "SKT는 외부 피해가 없었는데 KT의 4배에 이른다"는 식의 반응이 나왔다. 쿠팡(6247억원), SKT(1347억9100만원)와 비교해 KT의 과징금은 각각 8.6%, 40% 수준이다. 개인정보 무단수집 사건을 제외한 쿠팡의 순수 유출 과징금(4235억원)도 국내 최대이자 세계적으로 손에 꼽히는 규모로 조사된 바 있다.
앞서 쿠팡에선 3750만명의 개인정보(이름·이메일·주소·전화번호 등)를 중국 국적의 전 직원이 유출한 것으로 조사됐다. 그러나 민관합동조사단은 "다크웹 등에서 2차 피해를 확인하지 못했다"고 했고, 개보위도 2차 피해 증거를 입증하진 못했다. 2324만명의 휴대전화, 유심 인증키 등이 유출된 SKT도 마찬가지다. 쿠팡의 모회사 쿠팡Inc는 2차 피해 사실을 입증하기 위해 독립 보안 전문 기업 CNS와 다수의 독립 인터넷 보안 전문 업체가 다크웹, 딥웹, 텔레그램 등을 지속적으로 모니터링한 결과 2차 피해와 연관된 활동은 단 한 건도 확인되지 않았다고 밝혔다. 쿠팡Inc는 "실제 피의자가 저장한 정보는 3000건에 불과하다"는 입장으로, 향후 개보위 상대로 행정소송에 돌입할 방침이다.
◇미국에선 "2차 피해 발생 입증 못하면 소송 못해"..제도 손질 필요 목소리
상황이 이러다 보니 업계에선 "실질적인 2차 피해 증거가 없어도 유출 규모만 크면 매출에 연동해 과징금 규모가 천문학적으로 커지는 것 아니냐"는 지적이 나온다. 이날 개보위는 "KT는 무선통신 매출을 기준으로 산정한 뒤 위반 기간과 피해 규모, 시정조치 등을 함께 고려했다"며 "SK텔레콤은 유출된 개인정보의 유형과 2300만명이 넘는 피해 규모 등으로 '매우 중대한 위반행위'로 판단됐고, KT는 '중대한 위반행위'로 평가됐다"고 했다.
KT의 이번 과징금 산정 기준은 최근 3년간 무선사업 매출(약 6조5000억원)으로, 과징금 부과 비율은 0.8% 수준이다. SKT는 대규모 유심 인증키 유출 당시 무선 매출액의 약 1% 수준인 1,347억 9,100만 원이 부과됐다. 약 30조원의 매출을 기준 삼은 쿠팡은 유출 과징금(4235억7500만원)으로만 한정해도 약 1.4% 수준이다. 보안업계 관계자는 "2차 피해 여부, 범인의 정보 취득 여부를 중시하는 미국 등 다른 나라와 달리 한국은 외부에 나갔다는 근거가 없더라도 '조회'를 기준으로 유출을 따지고, 개인정보의 내밀함보다 매출 규모로만 과징금을 매긴다"고 말했다.
실제 미국의 경우 주 정부와 법원에선 해외에선 개인정보 유출 규모보다 실질적인 2차 피해를 중요하게 따진다. 현재 뉴욕·텍사스·일리노이주 등 40개 이상 주는 "실제 발생한 피해가 없으면 개인정보 유출 소송을 할 수 없다"는 원칙을 법률로 명시해 운영 중이다. 유출로 인한 명의도용, 금융사기 금액, 신용 복구 비용 등 구체적 손해를 입증해야 한다는 것이다.
또 한국과 함께 유럽연합(매출의 2~4%), 중국(전년도 매출 5%) 등이 매출 연동 과징금 제도를 실시하고 있지만, 미국과 대만, 일본, 프랑스 등 여러 국가들은 매출에 연동한 과징금 제도가 없다. 일본은 개인정보 유출 위반시 최대 1억엔(9~10억원)부터 허위 보고와 조사방해 명목으로 최대 50만엔 정액 제도 운영하고 있다. 보안업계 관계자는 "혈액형, 혼인 여부, 재산 등 24종의 민감정보가 털린 듀오가 과징금 12억원을 부과받는 한편, 매출이 없거나 적은 정부 부처에서 발생한 '모두의 창업'이나 외교부 정보 유출에 대해선 제재수위가 낮다는 목소리가 커지고 있다"며 "2차 피해 여부 판단 기준에 대한 모호성, '개인정보의 가치=매출의 규모'로 귀결되는 현 제도에 대한 개선이 필요하다"고 말했다.
