KT 불법 초소형 기지국 해킹·무단 소액결제 사태

2025년 8월부터 수도권 일부 지역에서 KT와 KT M모바일 등 KT 이동통신망을 쓰는 이용자들의 휴대전화에서 이용한 적 없는 소액결제가 이뤄지는 피해가 잇따랐다. 이용자들은 자신도 모르는 사이에 결제 문자가 오거나 요금이 청구되는 상황을 겪었다. 처음에는 단순 명의도용이나 스미싱으로 여겨졌으나 피해가 특정 지역에 집중되면서 조직적 공격 가능성이 제기됐다. 피해자들의 신고가 잇따르자 KT와 관계 당국이 조사에 착수했다. 통신사 가입자를 겨냥한 새로운 유형의 침해라는 점에서 우려가 커졌다.

2025년 10월 16일 무렵 불법 초소형 기지국이 20여 개 추가로 발견되면서 피해 규모가 더 커질 것이라는 전망이 나왔다. 수사가 진행될수록 공격에 동원된 장비와 대상 지역이 넓어졌다. 당국은 발견된 불법 기지국의 위치와 설치 경위를 추적하며 배후를 조사했다. 피해자 수와 결제 금액이 계속 늘어나자 KT의 초기 대응이 미흡했다는 비판도 제기됐다. 통신 이용자들 사이에서는 자신의 단말기도 표적이 됐을 수 있다는 불안이 확산됐다.

정부와 KT의 조사 결과, 무단 소액결제 피해의 배경에 불법 초소형 기지국인 펨토셀이 있었던 것으로 드러났다. 공격자는 불법 펨토셀을 설치해 인근 이용자의 가입자 식별번호(IMSI)와 단말기 식별번호(IMEI), 전화번호 등을 가로챈 것으로 파악됐다. 이렇게 탈취한 식별정보를 이용해 이용자 명의로 소액결제를 발생시키는 수법이었다. 통신망의 신뢰 기반인 기지국이 악용됐다는 점에서 단순 개인정보 유출을 넘어선 심각한 사안으로 평가됐다. 일각에서는 국가 기간망을 겨냥한 도청 우려까지 제기됐다.

2025년 12월 29일 과학기술정보통신부와 개인정보보호위원회 등 민관합동조사단은 KT 침해사고 최종 조사결과를 발표하며 KT의 보안 관리가 '총체적 부실'이었다고 결론지었다. 조사 결과 모든 펨토셀이 동일한 인증서를 사용해 불법 초소형 기지국이 KT망에 쉽게 접속했고, 종단 암호화가 해제돼 인증정보가 평문으로 탈취됐음이 드러났다. 또 KT 서버 94대에서 BPF도어·루트킷 등 악성코드 103종이 감염된 사실이 확인됐다. 무단 소액결제 피해는 2만2227명 식별정보 유출, 368명·2억4300만 원으로 최종 집계됐다. 정부는 이번 사고가 KT의 귀책사유에 해당한다며 전체 이용자에 대한 위약금 면제가 필요하다고 판단했다.

조사결과 발표와 함께 정부는 관리 부실과 조사 방해 정황이 드러난 KT와 LG유플러스를 경찰에 수사 의뢰하기로 했다. 과학기술정보통신부는 KT에 펨토셀 보안 관리 강화, 통신 암호화 설정 강화, 보안 장비 도입과 로그 보관 기간 연장, 정보보호최고책임자(CISO) 중심의 거버넌스 체계 확립 등을 재발 방지 대책으로 주문했다. KT는 정보통신망법상 침해사고 인지 후 24시간 이내 신고 의무를 위반해 3000만 원 이하 과태료 부과 대상이 됐다. 다만 정부는 해킹 경로를 끝내 특정하지 못한 채 조사를 종료해 한계도 지적됐다. 통신 3사 전반의 보안 점검과 제도 개선 논의가 본격화됐다.

정부의 중간조사 결과 KT에서 서로 다른 성격의 침해사고 3건이 동시에 확인됐다. 우선 불법 펨토셀에 접속한 2만 2227명의 가입자 식별번호와 단말기 식별번호, 전화번호가 유출됐고, 이 가운데 368명이 총 2억 4319만여 원의 무단 소액결제 피해를 입은 것으로 집계됐다. 여기에 국가 배후 조직에 의한 것으로 의심되는 KT 인증서 유출 정황과 별도의 서버 침해사고까지 더해졌다. 단순한 결제 사기를 넘어 통신 인프라 전반의 보안이 뚫린 복합 사고로 규정됐다. 정부는 통신사 보안 점검과 제도 개선 방안을 함께 검토했다.

KT는 2025년 12월 30일 서울 광화문 사옥에서 브리핑을 열고 해킹 사태에 대한 위약금 면제와 고객 보상안을 발표했다. KT는 12월 31일부터 이듬해 1월 13일까지 이동통신 서비스 계약 해지를 원하는 고객에게 위약금을 환급 방식으로 면제하기로 했다. 또한 해킹 사안을 경찰로부터 통지받은 9월 1일부터 12월 30일 사이 이미 서비스를 해지한 고객에게도 소급 적용하기로 했다. 앞서 무단 소액결제 피해에 대해서는 100% 보상과 유심 무료 교체를 약속한 데 이어 위약금까지 전면 면제하는 대규모 대응에 나선 것이다. 다만 시민단체는 근본 원인인 불법 기지국 차단과 재발 방지가 여전히 미흡하다고 지적했다.

KT는 이번 사태로 이용자가 입은 금전적 피해에 대해 100% 책임지고 신속한 보상안을 마련하겠다고 밝혔다. 또 불법 초소형 기지국 신호 수신 이력이 있는 이용자 전원의 유심(USIM)을 무료로 교체하고 유심 보호 서비스를 제공하겠다고 발표했다. 이는 앞서 발생한 통신사 해킹 사고들과 마찬가지로 대규모 유심 교체 대응으로 이어진 조치였다. 다만 근본 원인인 불법 기지국 차단과 재발 방지 대책이 충분한지에 대한 지적은 계속됐다. 통신 3사 전반의 보안 투자 확대와 기지국 관리 강화 요구가 커졌다.

2026년 1월 20일 개인정보보호위원회의 KT 해킹사고 처분 윤곽이 다음 달 드러날 것이라는 보도가 나왔다. 개인정보위는 KT의 개인정보 안전조치 의무 위반 여부를 심의해 과징금 규모를 결정할 방침이었다. 현행 개인정보보호법상 매출액 기준 과징금 산정 방식이 적용되면 수백억 원대를 넘어 1000억 원대에 이를 수 있다는 관측이 제기됐다. 이는 2만2227명의 가입자 식별정보 유출과 서버 침해라는 대규모 사고에 대한 제재 성격이었다. 위약금 면제에 이어 과징금까지 더해지며 KT의 재무·평판 부담이 커졌다.

2026년 6월 16일 개인정보보호위원회가 KT 불법 초소형 기지국(펨토셀) 해킹으로 인한 개인정보 유출 규모를 1만6000명으로 확정한 것으로 확인됐다. 이는 과학기술정보통신부가 앞서 추정한 2만2227명보다 약 28% 줄어든 수치로, 법인용 회선과 중복 회선이 제외된 결과다. 현행 개인정보보호법이 보호 대상을 살아있는 개인으로 한정해 IoT 기기 등 법인용 회선은 법률상 개인정보에 해당하지 않아 제재 대상에서 배제됐다. 유출 규모가 축소되면서 위법성의 경중 판단과 과징금 기준율 산정에 변수가 될 전망이며, 수천만 명 규모가 유출된 쿠팡·SK텔레콤 사례와 달리 높은 기준율을 부과하기 어렵다는 관측도 제기됐다. 개인정보위는 7월 전체회의에서 KT에 대한 최종 제재 수위를 결정할 예정이다.

2026년 7월 들어 개인정보보호위원회의 KT 해킹사고 제재안 상정이 임박했다는 관측이 나왔다. 개인정보위는 늦어도 7월 셋째주 전체회의에서 제재안을 상정하고 과징금 규모를 최종 확정할 것으로 알려졌다. 앞서 연초부터 거론된 대로 KT에 1000억 원대의 과징금이 부과될 가능성이 유력하게 거론됐다. 이는 통신사 개인정보 유출 사건 사상 최대 규모의 제재가 될 수 있어 업계가 촉각을 곤두세웠다. 위약금 면제와 소액결제 보상에 이어 대규모 과징금과 피해자 집단분쟁까지 겹치며 해킹 사고가 기업 경영을 흔드는 국면이 이어졌다.