개인정보보호위원회
심의ㆍ의결
제2026-015 - 094호
개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
의결일: 2026년 7월 29일
요지
안건번호 : 제2026-015 - 094호
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 주식회사 케이티(사업자등록번호 : )대표자
의결연월일 : 2026. 7. 29.
안건명 : 개인정보보호 법규 위반행위에 대한 시정조치에 관한 건
신청인 : 주식회사 케이티(사업자등록번호 : )대표자
의결연월일 : 2026. 7. 29.
주문
1. 피심인의 개인정보 보호법 제63조제1항 위반행위에 대해 피심인을 수사기관에 고발한다.
이유
Ⅰ. 기초 사실
피심인은 이동통신서비스 등을 제공하면서 이용자의 개인정보를 처리하는 「개인정보 보호법」법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행(이하 '보호법’)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169596671" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
피심인은 ’24.3월 해커로부터 IT서비스 내 38대 서버(개인정보처리시스템 포함)에 대한 침투 및 악성코드 공격을 받았으나, 피심인은 이를 인지하고 자체 조치('24.3~7월)하고 정부에는 신고하지 않았다.
개인정보보호위원회는 피심인에 대한 개인정보 유출 및 무단 소액결제 사건(안건번호 제2026-015-093호) 조사중 '24.3월 악성코드 감염사실을 인지하여 ’25.11.6.부터 조사를 확대하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 ’25. 11. 3. 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169596673" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 악성코드 감염 네트워크 및 서버 현황
피심인은 내 IT서비스 서버를 운영하고 있으며, 외부 인터넷망과 연결되어 있는 구역과 외부와 차단되어 내부망으로 운영되고 있는 , 구역으로 구역을 구분하여 운영하였다.
<img src="/LSW/flDownload.do?flSeq=169596675" alt="3번째 이미지"></img>
피심인이 18개 IT서비스*를 제공하는데 활용하는 38대 서버에 악성코드(BPFDoor 등) 감염이 발생하였다.
* 이 중 13개 IT 서비스는 개인정보를 처리하고 있음
2) 해커의 침투 및 개인정보 유출 경위
해커는 ’24.3~4월 KT IT서비스의 다수 서버(38대*)에 악성코드를 감염시키고, 일부 서버 내 개인정보를 조회하여 유출하였다.
* 38대 서버 외 내 식(’24.3.) 및 내 서버 식(’22.3.)도 악성코드 감염이 확인되었으나 개인정보처리시스템에 해당되지 않아 분석에서 제외
① (침투) 해커는 '24.3.1. ~ 3.8. KT 로밍렌탈홈페이지 내 예약입력창에 존재하는 SQL인젝션 취약점을 이용하여, 약 5시간에 걸쳐 29,583회의 SQL 공격(Blind SQL 인젝션)을 실시하였다.
② (개인정보 조회) ’24.3.5. 해커는 로밍렌탈서버 관리자페이지에 접속하여 임직원 정보를 조회하였다.해커가 해당 관리자페이지를 통해 피심인의 임직원 및 협력사 근로자의 개인정보(이름, 전화번호, 계정)를 조회ㆍ유출한 사실이 확인되었음<img src="/LSW/flDownload.do?flSeq=169596677" alt="4번째 이미지"></img>
③ (악성코드 업로드) '24.3.5. KT로밍 서버 관리자페이지 내 파일업로드 기능을 이용하여 웹쉘 업로드 및 악성코드를 설치하여 거점으로 이용하였다.
※ 해커는 로밍서버( ) 관리자페이지에 존재하는 파일 업로드 기능을 통해 업로드한 6개의 웹셸에 1,346회 접근한 사실이 있음
④ (악성코드 전파) 해커는 ’24.3.5.~13. 같은 구역( ) 내 관리자통신을 통해 구역 내 다수 서버에 악성코드를 설치하였고, 3.8.~12. 기간 동안 구역 외 , 구역의 다수의 윈도우 서버로 수평이동하여 악성코드를 설치ㆍ전파하였다.
이후 해커는 '24.3.19 ~ 3.28. 기간동안 서버에 BPFDoor 등 악성코드를 설치하여 DB서버의 Root권한을 획득하였으나, 개인정보 유출은 확인되지 않았다.
※ 악성코드 종류 : BPFDoor, 웹쉘 및 윈도우 악성도구( ) 등
※ BPFDoor(Berkeley Packet Filter) : 리눅스 시스템을 타깃으로하는 백도어 악성코드
다. ’24.3월 악성코드 감염 인지 이후 행위사실
피심인은 '24.3월 자사 IT서비스 관련 다수 서버가 악성코드에 감염된 사실을 인지하고도 자체 조치하고 이후 관련 증적을 삭제하였으며, ’25.11월 위원회가 조사 과정에서 감염사실을 인지할 때까지 알리지 않았고 조사과정에서도 거짓 진술 및 관련 자료 제출 지연 등으로 조사를 방해하였다.
① 피심인은 '24.3.5일 침해사실을 최초 인지하였으나 정부에 신고하지 않고 ’24.3월~7월 동안 자체적으로 조치하였으며, 침해 서버에 대한 자체 분석 보고서를 작성ㆍ보존('24.7월)하였으나 일반적인 침해사고 분석 보고서와 달리 사실관계, 구체적인 공격 및 웹로그 분석 등 개인정보 유출여부에 대한 상세 분석이 제대로 이루어지지 않았다.
아울러, 개인정보 유출 여부를 파악할 수 있는 당시 증적 자료를 충실히 수집ㆍ보존하지 않아, 위원회의 조사 시점(’25.11~)에는 네트워크 로그(방화벽로그, WAF로그 등)의 보유기간 경과로 개인정보 유출 여부를 확인할 수 없었다.
② '25.4월 타 통신사 유출사고를 계기로 피심인이 자사의 전체 서버 대상으로 보안점검을 위해 외부 보안 기관에 관련 로그를 제공하는 과정에서, '24.3월 침해가 발생된 서버(38대*)에 대한 클린징 지시가 있었고피심인은 '26.2.4일 제출자료에서 “CPO가 ’25.5.22 정보보안실 직책자 회의에서 침해흔적 조사 용역에 앞서 '24.3월 악성코드 감염 등 보안 이슈가 확인된 서버에 대한 클린징을 지시하였다“고 적시, 이에 따라 ’25.6~8월 동안 10대 서버에 대해 로그 삭제 등을 실시하였다.
* 38대 서버의 보안점검 로그는 별도 보관('25.6월), 이후 위원회에 제출(’26.1월)
③ 피심인은 위원회 초기 조사 과정에서 “악성코드가 수집된 채증자료는 삭제하여 현재 보관하고 있지 않음”이라고 진술(’25.12.16.) 했으나, 위원회가 감염서버 38대에 대한 디지털포렌식 분석을 통해 로그파일 삭제 등 증거은폐 정황을 확인하자 피심인은 기존 진술을 번복하고, '25.6월 로그삭제 전 별도 수집하여 보관 중이던 로그 결과와 ’24.3월 사고 당시 수집 자료 일부를 제출(’26.1.30.)하였다.
3. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 '26. 4. 17. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26. 5. 15. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제63조제1항은 “보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다. '이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게된 경우(1호)’, '이 법 위반에 대한 신고를 받거나 민원이 접수된 경우(2호)’”라고 규정하고 있고, 제63조제2항은 “보호위원회는 개인정보처리자가 제1항에 따른 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자 및 해당 법 위반사실과 관련한 관계인의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 거짓진술 등 조사를 방해한 행위
[보호법 제63조(자료제출 요구 및 검사)제1항]
피심인은 ’24.3월 침해사고 발생 당시 개인정보 유출 분석 소홀 및 당국에 미신고하였고, 침해사고 서버의 로그 일부를 삭제('25.6~8월)하였다. 이후 위원회의 조사과정에서 관련 자료제출 요청에 대해 피심인은 ’관련 자료가 없다'라고 진술하였으나, 이후 조사과정에서 관련 자료 삭제 정황이 발견되자 진술을 번복하고 관련 자료를 뒤늦게 제출하는 등 거짓진술을 통해 위원회의 조사를 지연시키는 등 유출 관련 사실관계 확인을 방해하였다.
이는, 위원회의 자료제출 요구에 대하여 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부하거나 거짓의 자료를 제출한 행위로 보호법 제63조제1항 위반에 해당된다.
<img src="/LSW/flDownload.do?flSeq=169596679" alt="5번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 고발
피심인이 ’24.3월 사고 발생 당시 개인정보 유출 분석 소홀 및 당국 미신고, 이후 침해사고 서버의 로그 일부 삭제('25.6~8월) 및 위원회 조사과정에서 거짓 자료제출, 번복 등으로 위원회 조사를 방해한 바, 이는 보호법 제63조제1항에 따른 자료제출 요구에 대하여 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부하거나 거짓의 자료를 제출한 것으로, 보호법 제73조제1항제4호에 따른 벌칙에 해당하고, 이는 「개인정보 보호 법규 위반에 대한 고발 기준」개인정보 보호 법규 위반에 대한 고발기준(개인정보보호위원회 지침, 2023. 10. 11. 시행)제2조에 따른 고발 대상에 해당하며, 정당한 사유 없이 위원회의 조사를 거부ㆍ방해한 경우에 해당하여 제3조에 따른 고발 기준을 충족하므로, 보호법 제65조에 근거하여 고발한다.
Ⅴ. 결론
피심인의 보호법 제63조제(자료제출 요구 및 검사)제1항 위반행위에 대하여 보호법 제65조(고발 및 징계권고) 및 보호법 제73조(벌칙)에 따라 고발을 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.
피심인은 이동통신서비스 등을 제공하면서 이용자의 개인정보를 처리하는 「개인정보 보호법」법률 제19234호, 2023. 3. 14. 일부개정, 2024. 3. 15. 시행(이하 '보호법’)에 따른 개인정보처리자이며, 피심인의 일반현황은 다음과 같다.
<img src="/LSW/flDownload.do?flSeq=169596671" alt="1번째 이미지"></img>
Ⅱ. 사실조사 결과
1. 조사 배경
피심인은 ’24.3월 해커로부터 IT서비스 내 38대 서버(개인정보처리시스템 포함)에 대한 침투 및 악성코드 공격을 받았으나, 피심인은 이를 인지하고 자체 조치('24.3~7월)하고 정부에는 신고하지 않았다.
개인정보보호위원회는 피심인에 대한 개인정보 유출 및 무단 소액결제 사건(안건번호 제2026-015-093호) 조사중 '24.3월 악성코드 감염사실을 인지하여 ’25.11.6.부터 조사를 확대하였다.
2. 행위 사실
가. 개인정보 수집현황
피심인은 ’25. 11. 3. 기준 아래와 같이 개인정보를 수집하여 보관하고 있다.
<img src="/LSW/flDownload.do?flSeq=169596673" alt="2번째 이미지"></img>
나. 개인정보 유출 관련 사실관계
1) 악성코드 감염 네트워크 및 서버 현황
피심인은 내 IT서비스 서버를 운영하고 있으며, 외부 인터넷망과 연결되어 있는 구역과 외부와 차단되어 내부망으로 운영되고 있는 , 구역으로 구역을 구분하여 운영하였다.
<img src="/LSW/flDownload.do?flSeq=169596675" alt="3번째 이미지"></img>
피심인이 18개 IT서비스*를 제공하는데 활용하는 38대 서버에 악성코드(BPFDoor 등) 감염이 발생하였다.
* 이 중 13개 IT 서비스는 개인정보를 처리하고 있음
2) 해커의 침투 및 개인정보 유출 경위
해커는 ’24.3~4월 KT IT서비스의 다수 서버(38대*)에 악성코드를 감염시키고, 일부 서버 내 개인정보를 조회하여 유출하였다.
* 38대 서버 외 내 식(’24.3.) 및 내 서버 식(’22.3.)도 악성코드 감염이 확인되었으나 개인정보처리시스템에 해당되지 않아 분석에서 제외
① (침투) 해커는 '24.3.1. ~ 3.8. KT 로밍렌탈홈페이지 내 예약입력창에 존재하는 SQL인젝션 취약점을 이용하여, 약 5시간에 걸쳐 29,583회의 SQL 공격(Blind SQL 인젝션)을 실시하였다.
② (개인정보 조회) ’24.3.5. 해커는 로밍렌탈서버 관리자페이지에 접속하여 임직원 정보를 조회하였다.해커가 해당 관리자페이지를 통해 피심인의 임직원 및 협력사 근로자의 개인정보(이름, 전화번호, 계정)를 조회ㆍ유출한 사실이 확인되었음<img src="/LSW/flDownload.do?flSeq=169596677" alt="4번째 이미지"></img>
③ (악성코드 업로드) '24.3.5. KT로밍 서버 관리자페이지 내 파일업로드 기능을 이용하여 웹쉘 업로드 및 악성코드를 설치하여 거점으로 이용하였다.
※ 해커는 로밍서버( ) 관리자페이지에 존재하는 파일 업로드 기능을 통해 업로드한 6개의 웹셸에 1,346회 접근한 사실이 있음
④ (악성코드 전파) 해커는 ’24.3.5.~13. 같은 구역( ) 내 관리자통신을 통해 구역 내 다수 서버에 악성코드를 설치하였고, 3.8.~12. 기간 동안 구역 외 , 구역의 다수의 윈도우 서버로 수평이동하여 악성코드를 설치ㆍ전파하였다.
이후 해커는 '24.3.19 ~ 3.28. 기간동안 서버에 BPFDoor 등 악성코드를 설치하여 DB서버의 Root권한을 획득하였으나, 개인정보 유출은 확인되지 않았다.
※ 악성코드 종류 : BPFDoor, 웹쉘 및 윈도우 악성도구( ) 등
※ BPFDoor(Berkeley Packet Filter) : 리눅스 시스템을 타깃으로하는 백도어 악성코드
다. ’24.3월 악성코드 감염 인지 이후 행위사실
피심인은 '24.3월 자사 IT서비스 관련 다수 서버가 악성코드에 감염된 사실을 인지하고도 자체 조치하고 이후 관련 증적을 삭제하였으며, ’25.11월 위원회가 조사 과정에서 감염사실을 인지할 때까지 알리지 않았고 조사과정에서도 거짓 진술 및 관련 자료 제출 지연 등으로 조사를 방해하였다.
① 피심인은 '24.3.5일 침해사실을 최초 인지하였으나 정부에 신고하지 않고 ’24.3월~7월 동안 자체적으로 조치하였으며, 침해 서버에 대한 자체 분석 보고서를 작성ㆍ보존('24.7월)하였으나 일반적인 침해사고 분석 보고서와 달리 사실관계, 구체적인 공격 및 웹로그 분석 등 개인정보 유출여부에 대한 상세 분석이 제대로 이루어지지 않았다.
아울러, 개인정보 유출 여부를 파악할 수 있는 당시 증적 자료를 충실히 수집ㆍ보존하지 않아, 위원회의 조사 시점(’25.11~)에는 네트워크 로그(방화벽로그, WAF로그 등)의 보유기간 경과로 개인정보 유출 여부를 확인할 수 없었다.
② '25.4월 타 통신사 유출사고를 계기로 피심인이 자사의 전체 서버 대상으로 보안점검을 위해 외부 보안 기관에 관련 로그를 제공하는 과정에서, '24.3월 침해가 발생된 서버(38대*)에 대한 클린징 지시가 있었고피심인은 '26.2.4일 제출자료에서 “CPO가 ’25.5.22 정보보안실 직책자 회의에서 침해흔적 조사 용역에 앞서 '24.3월 악성코드 감염 등 보안 이슈가 확인된 서버에 대한 클린징을 지시하였다“고 적시, 이에 따라 ’25.6~8월 동안 10대 서버에 대해 로그 삭제 등을 실시하였다.
* 38대 서버의 보안점검 로그는 별도 보관('25.6월), 이후 위원회에 제출(’26.1월)
③ 피심인은 위원회 초기 조사 과정에서 “악성코드가 수집된 채증자료는 삭제하여 현재 보관하고 있지 않음”이라고 진술(’25.12.16.) 했으나, 위원회가 감염서버 38대에 대한 디지털포렌식 분석을 통해 로그파일 삭제 등 증거은폐 정황을 확인하자 피심인은 기존 진술을 번복하고, '25.6월 로그삭제 전 별도 수집하여 보관 중이던 로그 결과와 ’24.3월 사고 당시 수집 자료 일부를 제출(’26.1.30.)하였다.
3. 처분의 사전통지 및 의견수렴
개인정보보호위원회는 '26. 4. 17. 피심인에게 예정된 처분에 대한 사전통지서를 송부하고 이에 대한 의견을 요청하였으며, 피심인은 ’26. 5. 15. 개인정보보호위원회에 의견을 제출하였다.
Ⅲ. 위법성 판단
1. 관련법 규정
가. 보호법 제63조제1항은 “보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보처리자에게 관계 물품ㆍ서류 등 자료를 제출하게 할 수 있다. '이 법을 위반하는 사항을 발견하거나 혐의가 있음을 알게된 경우(1호)’, '이 법 위반에 대한 신고를 받거나 민원이 접수된 경우(2호)’”라고 규정하고 있고, 제63조제2항은 “보호위원회는 개인정보처리자가 제1항에 따른 자료를 제출하지 아니하거나 이 법을 위반한 사실이 있다고 인정되면 소속 공무원으로 하여금 개인정보처리자 및 해당 법 위반사실과 관련한 관계인의 사무소나 사업장에 출입하여 업무 상황, 장부 또는 서류 등을 검사하게 할 수 있다. 이 경우 검사를 하는 공무원은 그 권한을 나타내는 증표를 지니고 이를 관계인에게 내보여야 한다.”라고 규정하고 있다.
2. 위법성 판단
가. 거짓진술 등 조사를 방해한 행위
[보호법 제63조(자료제출 요구 및 검사)제1항]
피심인은 ’24.3월 침해사고 발생 당시 개인정보 유출 분석 소홀 및 당국에 미신고하였고, 침해사고 서버의 로그 일부를 삭제('25.6~8월)하였다. 이후 위원회의 조사과정에서 관련 자료제출 요청에 대해 피심인은 ’관련 자료가 없다'라고 진술하였으나, 이후 조사과정에서 관련 자료 삭제 정황이 발견되자 진술을 번복하고 관련 자료를 뒤늦게 제출하는 등 거짓진술을 통해 위원회의 조사를 지연시키는 등 유출 관련 사실관계 확인을 방해하였다.
이는, 위원회의 자료제출 요구에 대하여 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부하거나 거짓의 자료를 제출한 행위로 보호법 제63조제1항 위반에 해당된다.
<img src="/LSW/flDownload.do?flSeq=169596679" alt="5번째 이미지"></img>
Ⅳ. 처분 및 결정
1. 고발
피심인이 ’24.3월 사고 발생 당시 개인정보 유출 분석 소홀 및 당국 미신고, 이후 침해사고 서버의 로그 일부 삭제('25.6~8월) 및 위원회 조사과정에서 거짓 자료제출, 번복 등으로 위원회 조사를 방해한 바, 이는 보호법 제63조제1항에 따른 자료제출 요구에 대하여 법 위반사항을 은폐 또는 축소할 목적으로 자료제출을 거부하거나 거짓의 자료를 제출한 것으로, 보호법 제73조제1항제4호에 따른 벌칙에 해당하고, 이는 「개인정보 보호 법규 위반에 대한 고발 기준」개인정보 보호 법규 위반에 대한 고발기준(개인정보보호위원회 지침, 2023. 10. 11. 시행)제2조에 따른 고발 대상에 해당하며, 정당한 사유 없이 위원회의 조사를 거부ㆍ방해한 경우에 해당하여 제3조에 따른 고발 기준을 충족하므로, 보호법 제65조에 근거하여 고발한다.
Ⅴ. 결론
피심인의 보호법 제63조제(자료제출 요구 및 검사)제1항 위반행위에 대하여 보호법 제65조(고발 및 징계권고) 및 보호법 제73조(벌칙)에 따라 고발을 주문과 같이 의결한다.
이상과 같은 이유로 주문과 같이 의결한다.
출처: 국가법령정보센터 개인정보보호위원회 결정문. 신청인·피심인 등 당사자 칸은 따로 싣지 않습니다(본문의 이름은 원천이 가린 그대로입니다).