LG유플러스 용산 사옥. /사진=양진원 기자


LG유플러스의 침해사고 은폐 의혹이 경찰 수사 중인 가운데 이번 국정감사에서 이를 제대로 다뤄야 한다는 주장이 나온다.

국회 과학기술정보방송통신위원회 소속 조경태 의원(국민의힘·부산 사하구을)은 6일 국정감사에서 LG유플러스(LGU+)가 약 15년간 가입자 식별번호(IMSI)에 가입자 전화번호를 그대로 넣어 운영해 온 문제를 지적하고 지난해 침해사고 은폐 의혹과 관련해 경찰 수사 결과에 따른 위약금 면제 여부를 배경훈 부총리 겸 과기정통부 장관에게 따져 물을 예정이라고 밝혔다.



IMSI(International Mobile Subscriber Identity)는 전 세계 통신사가 가입자를 구별하기 위해 부여하는 15자리 고유번호로 휴대폰 유심(USIM)에 저장된다. 이른바 '통신용 주민등록번호'로 전화번호·유심 인증키(Ki) 등과 함께 엄격히 관리해야 하는 핵심 정보다. 개인정보보호위원회 위원장도 지난해 8월 SKT 개인정보 유출 사고 제재 결과 브리핑에서 IMSI 등 유심 정보는 당연히 개인정보에 해당한다는 입장을 밝힌 바 있다.

조 의원실에 따르면 통신 3사 IMSI는 모두 국가코드(450)와 사업자코드로 시작하지만 나머지 자리를 채우는 방식이 다르다. SKT는 전화번호 중간 4자리 뒤에 개통 후 무작위로 생성되는 5자리 난수를 붙이고 KT는 유심 제조사가 부여한 일련번호를 쓴다. 반면 LGU+는 사업자코드 뒤에 가입자 전화번호를 그대로 붙여 왔다.

LGU+ 가입자는 전화번호만 알면 IMSI를, IMSI만 알면 전화번호를 곧바로 알 수 있는 구조다. 사실상 1000만명의 LGU+ 가입자 IMSI가 15년 가까이 노출된 상태나 다름없었던 셈이다.



문제는 이 IMSI를 손쉽게 수집할 수 있는 장비가 이미 퍼져 있다는 점이다. 'IMSI 캐처(Catcher)'는 진짜 기지국인 것처럼 신호를 보내 주변 휴대폰의 접속을 유도한 뒤 IMSI를 가로채는 가짜 기지국 장비로 해외 대형 온라인 쇼핑몰에서 버젓이 판매되고 있다. 수백만원대 연구용 무선장비(SDR)에 인터넷에 공개된 오픈소스 코드를 구동해 직접 만들 수도 있어 보안 전문가라면 하루면 개발이 가능한 수준이다.

해당 문제가 더욱 엄중한 이유는 LGU+ 지난해 해킹 은폐 의혹 때문이다. LGU+는 지난해 7월19일 한국인터넷진흥원(KISA)으로부터 해킹 제보 안내를 받은 뒤 7월31일 침해 서버 1대를 폐기했고 8월11일 과기정통부가 자체 점검을 요청하자 다음 날인 8월12일 침해 서버의 운영체제(OS)를 재설치한 뒤 8월13일 '침해사고 흔적 없음'이라고 통보했다.

해킹당한 서버(APPM)는 내부 서버 계정의 비밀번호를 일괄 관리하는 시스템으로 이를 통하면 LGU+ 내부 수천에서 수만대 서버 어디에든 접속할 수 있는 '마스터키'에 해당한다. 민관합동조사 결과 유출된 데이터는 실제 유효한 것으로 판명됐지만 서버 폐기와 OS 재설치로 유출 경로와 범위는 끝내 특정하지 못했다. 이에 과기정통부는 LGU+ 행위를 의도적 사고 은폐로 판단해 지난해 12월9일 '위계에 의한 공무집행방해' 혐의로 경찰에 수사를 의뢰했다. 개인정보보호위원회도 지난 7월30일 같은 혐의로 경찰에 수사 의뢰를 결정한 바 있다.

조 의원은 LGU+의 해킹 은폐가 위약금 면제 사유에 해당한다고 보고 있다. LGU+ 이용약관 제38조는 '기타 회사의 귀책 사유'로 해지할 경우 위약금 납부 의무를 면제하도록 규정하고 있다. 국회입법조사처도 침해 흔적을 지운 행위가 악의적 증거 인멸·조사 방해에 해당하면 이는 이용자가 자신의 정보 유출 여부를 확인하고 대응할 기회를 빼앗고 안전한 통신서비스 제공이라는 계약상 신뢰관계를 훼손한 것으로 위약금 면제 대상인 회사 귀책 사유로 해석될 수 있다고 판단했다.

조 의원은 "문제가 알려지고 나서야 1000만명이 넘는 가입자의 IMSI 체계를 바꾸고 유심 교체에 나섰는데 정부가 '법에 금지돼 있지 않았다', '피해 가능성이 낮다'는 말로 끝낼 일이 아니다"라며 "정부가 직접 실증 점검을 하고 이용자 보호대책을 서둘러 마련해야 한다"고 강조했다.

한편 경찰은 LGU+ 해킹 은폐 의혹을 두고 10개월이 넘도록 결론을 내지 못하고 있다. 과학기술정보통신부·개인정보보호위원회 등 관련 기관이 경찰 수사 결과를 기다리는 상황에서 엄정한 수사를 요구하는 목소리가 커진다.