개인정보보호위원회가 불법 초소형 기지국(펨토셀)을 통한 개인정보 유출 및 소액결제 피해 사고를 낸 KT에 과징금 539억 7,900만 원 부과와 함께
시정명령, 고발 조치를 의결했습니다.
▷ 피해 규모: 사용자 1만 6,647명의 개인정보(전화번호, IMSI, IMEI 등) 유출, 368명 대상 약 2억 4,000만 원의 무단 소액결제 발생.
▷ 해킹 수법: 해커는 분실·유실된 KT의 정상 펨토셀 장비에서 인증서를 추출하여 자신이 직접 제작한 가짜 기지국에 이식했습니다. 이후 이용자 단말기가 가짜 기지국을 거치도록 유도해 통신 정보 및 결제 인증 문자/ARS를 중간에서 탈취했습니다.
▷ 보안·관리 부실 원인
- 펨토셀 장비 관리 부실 및 보안 허점(인증서 유효기간 10년 설정, 타사/해외 IP 접속 방치 등).
- 해커가 약 11개월 동안 KT 내부망에 자유롭게 무단 접속했으나 민원이 발생하기 전까지 감지하지 못함.
[발행일 : 2026-07-30]
ITAD 관점에서의 시사점
ITAD는 IT 자산이 수명을 다하거나 분실, 교체될 때 안전한 데이터 파기. 인증서/암호화 키 제거, 물리적 회수 및 이력 관리를 해주는 핵심 보안 프로세스 입니다.
이번 사건은 소형 하드웨어 자산(펨토셀)의 ITAD 프로세스 공백이 어떻게 대형 보안 참사로 이어지는지 보여주는 대표적인 사례입니다.
▶ 문제점 : 펨토셀은 고객 자택/사무실 등에 설치되는 하드웨어 자산입니다. 장비가 분실되거나 사용 중단되었음에도 해당 장비가 적절한 회수/폐기 프로세스를 거치지 않고 해당 장비에 부여된 인증서 및 접근 권한이 효력을 유지하고 있었습니다. 또한, 유실된 펨토셀의 식별자(Cell ID, 장비 시리얼)가 무단 접속을 시도할 때 중앙 시스템에서 즉시 탐지/차단되지 않았습니다.
▶ ITAD 관점 시사점 : 단순 서버, PC 뿐만 아니라 펨토셀 같은 소형 하드웨어 자산에 대한 엄격한 회수 및 보안운송 체계를 마련해야 하며, 자산의 실물 폐기 전 암호화 키·인증서의 폐기 또한 즉각적으로 이루어져야 합니다. 또한, 보안 사고 시 무단으로 서버를 폐기하거나 포맷하여 증거를 인멸하는 행위를 차단하기 위해 ITAD 절차에 의한 공식적인 데이터 완전파기 증명서 발급/발행 절차를 준수해야 합니다.