2025년 9월, KT 이용자들이 본인이 신청하지 않은 휴대전화 소액결제 피해를 신고했습니다. 사건 초기에는 불법 초소형 기지국, 이른바 펨토셀이 원인으로 지목됐고, ARS 인증 체계의 문제는 가능성으로 보도됐습니다. 이후 조사가 진행되면서 펨토셀 인증 관리와 통신망 접근통제의 실패, 인증정보 탈취 과정이 구체적으로 확인됐습니다.
이번 사건에서 주목할 부분은 ‘가짜 기지국이 문자를 가로챘다’는 한 문장에 그치지 않습니다. 분실된 통신 장비의 인증서가 복제되고, 복제된 인증서가 약 11개월 동안 통신망에 접속하는 데 사용됐습니다. 그 연결을 통해 가입자 식별정보와 결제 인증정보가 노출됐고, 일부는 실제 금전 피해로 이어졌습니다.
한눈에 보기#
사고 기간: 비인가 펨토셀의 내부망 접속은 2024년 10월 8일부터 2025년 9월 5일까지 이어진 것으로 개인정보위가 확인했습니다.
공격 경로: 분실된 KT 펨토셀의 인증서를 복사해 자체 제작 장비에 사용했습니다.
확인된 피해: 개인정보위는 중복을 제거한 16,647명의 휴대전화번호·IMSI·IMEI 유출과 368명의 약 2억 4천만 원 소액결제 피해를 확인했습니다.
핵심 관리 실패: 공통 인증서, 긴 유효기간, 미흡한 접속 통제와 이상 접속 탐지가 겹쳤습니다.
확인 기준: 개인정보위의 2026년 7월 제재 처분과 과기정통부의 조사 발표를 기준으로 정리했습니다.
펨토셀은 어떤 장비인가#
펨토셀은 집이나 사무실, 지하처럼 이동통신 신호가 약한 곳에서 통신 품질을 개선하기 위해 설치하는 소형 기지국입니다. 휴대전화가 펨토셀에 연결되면 통신이 이 장비를 거쳐 이동통신사의 망으로 전달됩니다. 따라서 펨토셀은 단순히 전파를 키우는 장치가 아니라, 통신망에 접속하는 장비입니다.
통신사는 어떤 펨토셀이 망에 접속하는지 인증하고, 장비가 등록된 장소와 식별정보에 맞게 동작하는지 관리해야 합니다. 분실 장비의 인증정보가 계속 유효하다면, 장비를 회수하지 못한 사실이 통신망의 접근 통제 문제로 이어질 수 있습니다.
공격은 어떤 순서로 진행됐나#
개인정보위 조사 결과에서 확인된 흐름은 다음과 같습니다.
공격자는 유실된 KT 펨토셀에서 망 접속용 인증서를 확보했습니다.
인증서를 자체 제작한 펨토셀에 넣어 KT 이동통신망에 접속했습니다.
이용자 단말이 공격자 펨토셀을 경유하도록 유도해 단말과 내부망 사이의 정보를 가로챘습니다.
가로챈 정보와 추가로 확보한 개인정보를 결합해 휴대전화 소액결제를 요청했습니다.
결제 인증에 사용되는 ARS·문자(SMS) 정보를 탈취해 결제를 완료했습니다.
분실 펨토셀 → 인증서 복제 → 비인가 장비의 망 접속 → 통신정보 가로채기 → ARS·SMS 인증 탈취 → 소액결제
여기서 IMSI는 이동통신망에서 가입자를 식별하는 번호이고, IMEI는 휴대전화 단말기를 식별하는 번호입니다. 개인정보위는 휴대전화번호와 이 두 식별정보가 유출된 이용자 수를 중복 제거해 집계했습니다. 또 공격자가 결제에 사용한 추가 개인정보로 이름·성별·생년월일을 언급했지만, 해당 정보의 최초 취득 경로까지 모두 규명됐다고 확대해서 해석해서는 안 됩니다.
왜 비인가 펨토셀이 접속할 수 있었나#
과기정통부의 중간 조사에 따르면 KT에 공급된 초소형 기지국은 공통 인증서를 사용했습니다. 개인정보위는 사고 당시 펨토셀 인증서의 유효기간이 10년이었고, 타사나 해외 IP에서 들어오는 접속을 제한하지 않았다고 밝혔습니다. 인증서가 복제되면 다른 장비가 정상 장비처럼 망에 접속할 여지가 생기는 구조였습니다.
개인정보위는 그 밖에도 펨토셀 관리 서버를 우회하는 경로가 있었고, 코어망 접속 때 쓰이는 셀 ID 관리와 비인가 접속 탐지·대응이 미흡했다고 판단했습니다. 그 결과 복제 인증서를 넣은 장비가 별도의 추가 인증 없이 2024년 10월 8일부터 2025년 9월 5일까지 약 11개월간 내부망에 접속했습니다.
통신정보가 실제로 어떻게 노출됐는지도 확인됐습니다. 과기정통부 조사단은 단말기부터 코어망까지의 종단 간 암호화가 해제되어 불법 펨토셀이 ARS·SMS 인증정보를 평문으로 얻을 수 있었던 것으로 판단했습니다. 개인정보위의 후속 처분은 공격자가 펨토셀을 통해 통신정보와 결제 인증정보를 탈취해 부정 결제로 이어진 과정과 관리통제 실패를 확인했습니다.
피해 규모는 왜 초기 보도와 달라졌나#
사용자가 보내준 보안뉴스 기사는 2025년 9월 10일 당시 KT가 자체 파악한 278건, 약 1억 7천만 원의 소액결제 피해를 보도했습니다. 이후 접속기록을 추가 분석한 개인정보위는 2026년 7월 제재 처분에서 368명, 약 2억 4천만 원으로 피해 규모를 발표했습니다. 초기 보도와 후속 조사 결과는 발표 시점과 집계 기준이 다릅니다.
개인정보위가 확인한 개인정보 유출 규모는 중복을 제거한 이용자 16,647명입니다. 실제 결제 피해자 368명과 개인정보 유출 이용자 수는 서로 다른 지표이므로 같은 숫자로 읽으면 안 됩니다. 이 글은 최종 처분에서 제시한 수치를 사용합니다.
개인정보위는 KT가 펨토셀 운영과 내부망 접근통제를 소홀히 해 개인정보 보호법상 안전조치 의무를 위반했다고 판단하고, 과징금 539억 7,900만 원과 시정명령 등을 의결했습니다. 이는 행정기관의 제재 처분에 관한 설명이며, 별도의 형사 절차나 민사 책임까지 확정됐다는 뜻은 아닙니다.
조사 이후 어떤 조치가 발표됐나#
과기정통부의 중간 발표에 따르면, 2025년 9월 10일 통신 3사는 신규 초소형 기지국 접속을 일시 중단했습니다. KT는 인증서 유효기간을 10년에서 1개월로 단축하고, KT가 아닌 IP의 접속을 차단했으며, 하드웨어 식별정보와 설치정보를 확인하고 장비별 인증서를 발급하는 조치를 순차적으로 적용했다고 발표했습니다.
이 조치들은 중간 조사 발표 시점의 대응 현황입니다. 독자가 현재의 KT 통신망 설정이나 모든 보완 조치가 그대로 유지되는지 확인할 수 있는 내용은 아니므로, 과거 조치를 현재 상태처럼 쓰지 않도록 기준 시점을 분명히 했습니다.
보안과 개인정보 보호 관점에서 볼 점#
인증서는 장비별로 발급하고, 분실되면 폐기할 수 있어야 합니다. 공통 인증서가 여러 장비에 쓰이면 한 장비에서 유출된 자격증명이 다른 장비를 가장하는 데 악용될 수 있습니다. 장비별 자격증명과 짧은 유효기간, 신속한 폐기·재발급은 장비의 분실과 복제를 고려한 통제입니다.
인증값뿐 아니라 접속 맥락도 검증해야 합니다. 인증서가 유효하더라도 장비 식별값, 설치 위치, 접속 IP, 셀 ID가 등록정보와 맞지 않으면 추가 검증하거나 접속을 차단할 수 있어야 합니다. 접속 이후에도 평소와 다른 위치나 인증 트래픽을 감시해야 합니다.
개인정보는 인증정보와 결합될 때 피해가 커질 수 있습니다. 휴대전화번호·IMSI·IMEI 같은 통신 식별정보만 따로 보는 데서 끝내지 않고, 다른 개인정보 및 ARS·SMS 인증정보와 결합될 때 어떤 서비스에 영향을 줄 수 있는지도 평가해야 합니다. 이번 사고에서는 통신 식별정보 유출이 결제 인증정보 탈취와 부정 결제로 이어졌습니다.
이용자가 휴대전화 설정을 바꾸는 것만으로 통신망의 장비 인증과 내부망 접근통제 문제를 해결할 수는 없습니다. 펨토셀 등록·회수, 인증서 폐기, 비인가 접속 탐지와 통신 구간의 암호화는 통신사업자가 책임지고 운영해야 하는 영역입니다. 이용자에게는 확인된 피해와 공식 보호조치를 기준으로 안내해야 합니다.