​[KJtimes=견재수 기자] 개인정보보호위원회가 개인정보 유출 및 사고 은폐 행위와 관련해 KT에 539억원 대의 과징금과 시정·공표명령을 내리고 회사를 검찰에 고발하기로 결정한 가운데, KT새노조가 이를 "탈통신 경영기조가 남긴 청구서"로 규정하며 당시 의사결정 라인에 대한 엄정한 수사와 민·형사상 책임 추궁을 요구하고 나섰다.

​KT새노조는 7월 30일 입장문을 내고, 개인정보보호위원회가 지난 7월 29일 전체회의에서 의결한 과징금 539억 7900만원 부과 및 고발 조치에 대한 입장을 밝혔다. 노조 측은 “과징금 액수보다 사고를 신고하지 않고 로그를 삭제하며 위원회에 거짓 자료를 제출해 고발 조치된 점이 더욱 무겁다”며, 통신의 기본이 망가진 증거라고 지적했다.

◆ 이용자 1만 6647명 정보 유출·368명 소액결제 피해

​위원회가 확인한 실태에 따르면 KT는 내부망 접속용 펨토셀 인증서의 유효기간을 10년으로 설정하고 접속 IP 제한을 걸지 않아 타사와 해외 IP 접속을 허용했으며, 셀 아이디(Cell ID) 관리 체계가 없어 비인가 장비의 이상 접속을 차단하지 못했다. 이에 따라 해커가 유실된 장비에서 인증서를 복사해 만든 펨토셀이 2024년 10월 8일부터 2025년 9월 5일까지 11개월 동안 내부망을 드나들었으나, 회사는 이를 탐지하지 못하다 소액결제 피해 민원이 발생한 뒤에야 비정상 접속을 확인했다. 이 사고로 이용자 1만 6647명의 휴대전화번호와 가입자·단말기 식별번호가 유출됐으며, 368명이 약 2억 4000만원의 무단 소액결제 피해를 입었다.

​심의 과정에서 KT는 해당 사고가 전례 없는 신유형이어서 예측과 대응이 불가능했다고 주장했으나, 위원회는 안전조치 의무 준수 시 예방이 가능했고 펨토셀 취약점은 학계와 해외에서 이미 지적되어 온 사안이라며 이를 수용하지 않았다. 이에 대해 노조는 규제기관 앞에서 내놓은 변명에 대해 구성원으로서 부끄럽고 죄송하다는 뜻을 전했다.

​아울러 조직적인 은폐 정황도 드러났다. 위원회 조사 결과 KT는 2024년 3월 서버 38대의 악성코드 감염을 인지하고도 정부에 신고 없이 넉 달간 자체 처리했으며, 2025년 4월 전수 점검 과정에서 침해 서버 10대의 로그를 삭제했다. 당초 보존 자료가 없다고 진술했던 KT는 디지털 포렌식을 통해 삭제 정황이 확인되자 진술을 번복했다.

◆ 노조 "전임 경영진 시절 보안관리 부실·은폐 반복"

노조는 이 같은 행위가 모두 전임 경영진 시절 발생했다며, 사고 감추기에 급급했던 조직 문화에 대해 사법당국의 엄정한 수사와 함께 당시 의사결정 라인에 대한 민·형사상 책임을 물어야 한다고 강조했다.

​노조는 이번 처분이 지난 몇 년간 '디지코(DIGICO)'에서 'AICT'로 구호가 바뀌는 동안 통신 본업을 비용으로 취급하고 네트워크 현장 인력을 자회사와 외주로 내몰며 발생한 관리 공백의 결과라고 비판했다. 과거 아현국사 화재와 2021년 전국 인터넷 마비 당시에 지적됐던 구조적 문제가 이번에는 보안 영역에서 표출됐다는 설명이다.

​마지막으로 노조는 박윤영 대표가 지난 7월 6일 발표한 '3년간 IT·네트워크·보안 분야 12조 원 투자 및 보안 인력 2배 증원' 약속을 언급하며, “해당 투자가 단순 홍보에 그치지 않고 현장의 인력과 설비 확충으로 이어져야 한다”고 요구했다. 노조는 “이번 처분이 동일한 잘못을 반복하지 않도록 하는 경고표지가 되어야 한다”며 “앞으로도 회사가 기본에 충실하도록 현장에서 목소리를 낼 것”이라고 덧붙였다.