KTは、無断少額決済を伴うハッキング事故を巡り、個人情報保護委員会から539億7900万ウォンの過徴金処分を受けた。市場で警戒されていた水準を下回り、短期的な財務不安はやや和らいだものの、是正命令への対応や調査妨害を巡る告発対応が残っており、信頼回復に向けた負担はなお重い。

今回の処分では、過徴金の算定対象が一部事業に限定された。このため、法定上限と比べれば4分の1程度にとどまり、経営を直ちに揺るがす水準ではないとの見方が出ている。一方で、セキュリティ投資の拡大や法務対応、中長期的なガバナンス再整備は避けられない見通しだ。

◆法定上限の4分の1、短期負担は限定的

現行の個人情報保護法では、安全措置義務違反が認められた場合、違反行為に関連する売上高の最大3％まで過徴金を科すことができる。単純計算では2000億ウォン近い規模に膨らむ可能性もあり、業界ではKTの財務負担を懸念する声が出ていた。

ただ、個人情報保護委員会は最終的に539億7900万ウォンの賦課を決定した。算定対象となる関連売上高は5G・LTEの移動通信売上高に限定し、IPTVや超高速インターネットなど独立した売上高は除外した。違反期間や是正措置の有無、被害回復への取り組みも反映したとしている。

KTの事業規模を踏まえると、今回の過徴金は経営全体を揺るがすほどの負担ではないとの見方が大勢だ。法定上限に比べて4分の1程度にとどまり、関連売上高に対する比率でも約0.8％だった。USIMハッキング事案でSK Telecomが関連部門売上高の約1％に当たる1348億ウォンの過徴金を科された前例と比べても、相対的に低い水準となった。

費用計上の時期や会計処理の区分は現時点で明らかになっていない。KTは前年、連結営業利益2兆4691億ウォン、単体営業利益1兆3050億ウォンを計上しており、今回の過徴金は連結営業利益の約2.2％、単体営業利益の約4.1％に相当する。業界では「致命傷は避けた」との受け止めが広がっている。

業界関係者は「キャッシュフローや今後の投資余力を大きく損なう水準ではない」とした上で、「KTにとっては最善に近い結論かもしれない」と話した。

◆追加のセキュリティ投資と法務対応が焦点に

もっとも、過徴金処分で一連の問題が終わるわけではない。KTは事故発生後、違約金の免除やデータ提供など顧客補償プログラムを実施してきたが、今後は個人情報保護委員会の是正命令に基づき、フェムトセルを含む無線通信網設備の脆弱性点検とセキュリティ体制の強化を進める必要がある。

あわせて、個人情報保護責任者（CPO）の責任と役割の明確化、個人情報処理業務を統括するガバナンス体制の整備も求められた。一部ITサービスに適用しているISMS-P認証についても、移動通信ネットワークや関連システムまで対象を広げるよう勧告を受けている。KTは3カ月以内に対応策をまとめ、個人情報保護委員会に報告しなければならない。

行政訴訟に踏み切るかどうかも今後の焦点だ。KTは、議決書を受け取り次第、内容を精査した上で対応方針を決めるとしている。業界では、KTが行政訴訟を選択する可能性が高いとの見方が出ている。

さらに、調査妨害行為を巡る告発は、過徴金とは別の法的リスクとして残る。個人情報保護委員会は、KTが調査開始後、侵害を受けたサーバーに関する資料は存在しないと陳述し、ログの提出も遅らせるなど、調査を妨げたと判断した。個人情報保護法第73条などに基づき告発する方針で、追加制裁に発展する可能性もある。

別の業界関係者は「今後は、ハッキング隠蔽への組織的関与の有無や、申告義務・資料保存義務違反の有無を徹底的に明らかにする必要がある」と指摘し、「関係機関による追加調査が不可欠だ」と話した。

ソン・ギョンヒ個人情報保護委員長は「今回の処分が、通信業界全体のセキュリティ能力を一段と引き上げる契機になるべきだ」と述べた。その上で、「事故発生時に資料を隠したり被害を矮小化したりする行為が、企業に重大な不利益につながるよう制度を見直していく」と表明した。