[비즈한국] KTがフェムトセル（超小型基地局）のハッキングによる個人情報流出事故で、539億7900万ウォンの課徴金を科された。昨年、USIM情報流出事故でSKテレコムに科された課徴金（1347億9100万ウォン）の40%水準だ。被害者1人あたりの課徴金に換算すると約324万ウォンで、SKテレコム（約5800ウォン）の550倍を超える。流出規模もさることながら、通信網運営主体の管理責任と、実際の金銭的被害が発生した事実が重く反映されたものとみられる。
「フェムトセルの管理主体はKT」
30日、個人情報保護委員会は個人情報保護法に違反したKTに対し、課徴金539億7900万ウォンと過料720万ウォンを科し、是正命令と改善勧告、公表命令を議決した。調査過程で虚偽資料を提出するなど調査を妨害した疑いについては、KTを告発することにした。調査着手前に関連サーバーを廃棄したLGユープラスは、公務執行妨害の疑いで捜査機関に捜査を依頼した。
個人情報の流出規模は、当初、官民合同調査団が発表した2万2227件より少ない1万6647名で確定した。法人回線や同一人物の複数回線などを除き、実際の情報主体基準で再算定した結果だ。368名には約2億4000万ウォンの実際の金銭的被害も発生した。
今回の事故は、ハッカーが紛失したKTのフェムトセルから認証書をコピーして独自に製作した違法フェムトセルを作成し、KTの移動通信網に接続したことから始まった。フェムトセルは、KTが2016年から無線通信の電波不感地帯を解消するために導入した小型基地局である。ハッカーは利用者の端末がハッカーのフェムトセルを経由するように誘導し、携帯電話番号や加入者識別番号（IMSI）、端末識別番号（IMEI）を盗取した。これに別途入手した個人情報を結合して少額決済を要請した後、ARS・SMS認証まで奪って無断決済を行った。
総額だけで見るとSKテレコムより制裁のレベルは低い。個人情報保護委員会はKTをSKテレコムより一段階低い「重大な違反」に分類しながらも、「国民生活に不可欠な移動通信サービスを提供する基幹通信事業者として、内部網へのアクセス制御管理をおろそかにし、攻撃者の違法なアクセスを制限できないまま持続的な異常行為も検知できず、実際の金銭的被害につながった」と判断した。個人情報侵害のレベルはかなり高いという判断だが、確認された流出規模が相対的に少なく、流出情報も携帯電話番号、IMSI、IMEIの3種類にとどまった点などを総合的に考慮して最終的な課徴金が算定された。
一部では、フェムトセルは一部の加入者にしか設置されない機器であるため、関連売上のみが反映される可能性があるとの観測もあったが、実際の課徴金算定基準はKTの移動通信サービスの5G・LTE通信売上で決定された。IPTVやインターネット通信など関連のない独立した売上高は除外された。
今回の審議の核心争点は、フェムトセルの管理責任を誰に問うかであった。KTは審議の過程で「ハッカーが独自に製作したフェムトセルを利用して端末の通信信号を傍受する、前例のない新種の攻撃であり、予測と対応は不可能だった」と主張した。
個人情報保護委員会は「フェムトセルの実質的な運営主体はKTであり、移動通信網への接続とサービス提供のための利用者認証過程、この過程での個人情報転送に対する管理統制権もKTに属する」と判断した。KTの設置担当者が直接設置し、利用者に販売されない会社の資産であることも根拠として提示された。
管理体制の不備も具体的に指摘された。機器管理と内部網へのアクセス制御を適切に行っていれば十分に予防可能だった事故と見なしたのだ。事故当時、KTのフェムトセル管理体制は全体的にずさんで、認可されていないフェムトセルが内部網に容易に接続できる状態であった。△フェムトセル認証書の有効期間を10年と長期に設定した点 △内部網への接続IPを制限しておらず、海外や他社のIPからでも接続可能となっていた点 △管理サーバーを迂回する経路が存在した点 △非認可セルIDを検知したり対応したりする体制も整備されていなかった点も考慮された。
このため、ハッカーが約11ヶ月間、内部網に接続して個人情報を流出させたにもかかわらずKTはこれを検知できず、少額決済被害の苦情が寄せられて初めて異常な接続を確認したということである。
通信3社の相次ぐ事故にリスク管理が俎上に
SKテレコムとKTに続き、LGユープラスまで、相次いで大規模な個人情報流出と事故隠蔽疑惑が浮上し、通信業界全体のセキュリティリスク管理体制の不備が表面化した。
事故後のKTの対応も俎上に上がった。KTは2024年3月にサーバーのマルウェア感染の事実を初めて認識したにもかかわらず、政府に侵害の事実を届け出ず、個人情報の流出有無についての詳細分析も行わず独自に措置した。その後、他社の流出事故を機にサーバーを全数点検する過程で、侵害されたサーバーの一部ログを削除するなど、組織的な隠蔽の状況も確認された。
調査初期には保存資料がないと陳述したが、デジタルフォレンジックによってログ削除の事実が明らかになると陳述を翻してログを遅れて提出した点も調査妨害と判断され、個人情報保護委員会はKTを告発することにした。
今回の事件を機に、調査着手前の証拠隠滅・廃棄に対する刑事処罰と課徴金の賦課、調査非協力時の履行強制金の賦課、資料保存命令の導入などを骨子とした個人情報保護法の改正も進められており、事故発生時に「とりあえず隠蔽しよう」とするような対応は、もはや通用しないものとみられる。一部のITサービスに限られていた個人情報保護管理体制（ISMS-P）認証の範囲を移動通信ネットワークシステムまで拡大するよう改善勧告が出されたことで、これまで認証の死角地帯にあった通信網設備まで、政府の常時点検対象に含まれるようになったと評価されている。
KTは今回の課徴金賦課措置に加え、無線通信網機器に対する脆弱性点検と個人情報アクセス制御体制の強化、および個人情報保護責任者（CPO）の責任と役割の強化などを内容とする是正命令も受けることになった。
KTの関係者は「個人情報保護委員会の処分結果を重く受け止めており、先の事故で顧客と国民の皆様に大きな心配と不安をおかけしたことについて、改めて深くお詫び申し上げる」とし、「個人情報保護体制全般をゼロベースから再整備し、セキュリティ投資を拡大するなど、再発防止と顧客の信頼回復に全力を尽くす」と明らかにした。
個人情報保護委員会の議決後、企業は議決書の送達を受けて処分内容を検討した後、行政訴訟を提起することができる。大型課徴金の処分をめぐって行政訴訟に至る事例が少なくないだけに、KTの対応にも注目が集まる。KTの関係者は「議決書を受領次第、内容を精査した上で関連する立場を決定する予定」と伝えた。