KTの不正小額決済を伴うハッキング事案を巡り、政府による制裁水準が近く示される見通しだ。情報流出の規模はSK TelecomのUSIM情報流出事案を大きく下回る一方、実際の金銭被害が発生しており、事故報告の遅れなど対応面の問題も指摘されている。課徴金の算定を巡っては、関連売上の範囲や違反の重大性評価が焦点となる。

個人情報保護委員会は29日午後、全体会議を開き、KTの個人情報保護法違反の有無と、課徴金、過料、是正命令などを盛り込んだ制裁案を審議する。

業界では、流出規模や実被害、安全措置義務違反の程度を課徴金にどう反映するかに関心が集まっている。今回の決定は、KTの今後の投資方針にも影響する可能性がある。

◆制度上限なら2000億ウォン弱規模、焦点は「関連売上」の範囲

現行の個人情報保護法では、違反行為に関連する売上高の最大3％を課徴金として賦課できる。実際の算定では、全社売上から違反行為と関係のない売上を除外する仕組みだ。

KTの直近3年間の無線サービス売上高の平均は約6兆5000億ウォン。単純計算で法定上限の3％を当てはめると、課徴金は最大1950億ウォン規模となる。

もっとも、3％はあくまで上限にすぎない。最大の争点は、個人情報保護委員会がKTの売上のうち、どこまでを「違反行為に関連する売上」と認定するかにある。

事故の舞台となった移動通信網や無線サービス全体を関連売上とみなせば、算定の母数は大きくなる。一方で、不正なフェムトセル接続が確認された加入者や、事故が発生したサービス、期間に限定して関連性を狭く認定すれば、基準となる売上は縮小し得る。

KTは、加入者サーバ全体が攻撃を受けたSK Telecomの事例とは異なり、今回の事案は一部地域で不正フェムトセルによる情報窃取が起きた局地的な事故だと強調している。個人情報保護委員会が事前通知書で、法人回線や重複回線を除いた流出人数を約1万6000人と記載したと伝えられている。

個人情報保護委員会はSK Telecomの事案について、利用者約2324万人の携帯電話番号、加入者識別番号（IMSI）、USIM認証キーなど25種類の情報が流出したと認定し、1347億9100万ウォンの課徴金を賦課した。ファイアウォール設定、サーバアカウント管理、暗号化、マルウェア対策など、移動通信の中核システムにおける安全措置が全般的に不十分だったと判断している。

流出人数だけを見れば、KTの事案はSK Telecomの1000分の1にも満たない。KTとしては、被害範囲や流出情報の種類が相対的に限定されていた点を根拠に、低い算定率や減免を求める余地がある。

仮に関連売上を無線サービス全体とみなした場合でも、違反の重大性に応じた算定率までSK Telecomと同水準にすべきではない、というのがKT側の論理だ。

なお、KTの事案には、強化後の新たな課徴金算定基準は遡及適用されない。個人情報保護委員会は今年5月から、直前年度売上高と直近3事業年度平均売上高のうち高い方を基準に用い、「極めて重大な違反行為」については減免を制限するなど制度を厳格化した。

ただし、KTについては改正規定の施行前に終了した違反行為に当たるとして、従来基準を適用する方針を示している。

◆流出規模は限定的でも金銭被害が発生、フェムトセル管理も重しに

KTに不利な材料としてまず挙がるのは、個人情報流出が実際の金銭被害につながった点だ。政府調査によると、不正なフェムトセルに接続した利用者2万2227人のIMSI、端末識別番号（IMEI）、電話番号が流出した。

このうち368人は、計777件の不正小額決済により約2億4300万ウォンの被害を受けた。

攻撃者は、不正フェムトセルにKTの証明書とサーバIP情報を複製して内部ネットワークに接続。その後、強い電波を送出して利用者端末を不正装置へ誘導し、電話番号などを窃取した。さらに、商品券購入の過程で被害者に送られるSMSや自動音声応答による認証情報まで傍受し、小額決済を実行したとされる。

個人情報流出が財産被害に直結した以上、個人情報保護委員会が違反結果を重くみる可能性はある。

フェムトセルの管理体制も、課徴金算定で不利な要素として取り上げられている。官民合同調査団は、KTに納品されたフェムトセルが同一メーカーの証明書を使っていたため、証明書を複製した異常装置でもKTの内部ネットワークに接続できたと判断した。

証明書の有効期間が10年に設定されており、一度接続した装置が長期間ネットワークに接続可能な状態だった点も問題視された。

さらに、KTのサーバ94台からBPFドア、ルートキット、バックドアなど103種類のマルウェアが見つかったことも変数となっている。官民合同調査団は、全社的な資産管理、セキュリティ機器の運用、サプライチェーンセキュリティ体制も不十分だったとみている。

事故申告と政府調査への対応も、KTにとっては負担材料だ。KTは2025年9月5日、不正小額決済に関連する異常な通信パターンを検知して遮断したが、不正フェムトセルIDを確認した後の9月8日午後になって当局に事故を申告した。

政府は、侵害事故を認知してから24時間以内に申告する義務に違反したと判断している。過去にマルウェア感染が確認されたサーバについても、実際の廃棄時点と異なる内容を政府に提出し、バックアップログの存在も遅れて報告したとしている。

こうした申告遅延や調査対応上の問題は、事故そのものとは別に、KTの情報保護ガバナンスが適切に機能していたかを見極める材料になり得る。個人情報保護委員会が管理・監督責任を重視すれば、減免の余地は限られる可能性がある。

◆顧客補償と情報保護投資は減免要因となるか

一方で、KTが事故後に講じた補償策や再発防止策は、減免事由として検討される可能性がある。KTは被害金額を補償したほか、全顧客を対象にUSIM無償交換と違約金免除を実施した。今年2月から8月にかけては顧客還元プログラムも運営している。

情報保護投資の拡大も説明材料になりそうだ。KTは、情報保護最高責任者（CISO）ポストの新設、取締役会向けセキュリティ報告の定例化、専任人員の拡充を進めるとともに、今後5年間で情報保護分野に1兆ウォンを投資すると明らかにしている。

再発防止策としては、ゼロトラスト体制の拡大、統合セキュリティ監視の高度化、アクセス制御と暗号化の強化、未使用フェムトセルの遮断・回収などを打ち出した。KTは2025年に情報保護部門へ1276億ウォンを投じ、4年連続で年間投資額1000億ウォン超を維持したとしている。

財務面では、実際の課徴金が法定上限に近づくほど負担は重くなる。KTの2025年の単体営業利益は1兆3050億ウォン、連結営業利益は2兆4691億ウォンだった。

課徴金が2000億ウォン近くまで膨らめば、前年の単体営業利益の約15％、連結営業利益の約8％に相当する水準となる。

一時費用であり、直ちに財務の安定性を揺るがす規模ではない。ただ、顧客補償やUSIM交換に加え、今後5年間のセキュリティ投資、さらに課徴金負担まで重なれば、当期損益とキャッシュフローへの影響は小さくない。