정부 "LG유플러스 정보유출·접속장애 원인은 '투자 부족'"
정부는 LG유플러스에서 잇따라 발생한 고객 개인정보 유출과 인터넷 접속 장애의 주요 원인으로 정보보호와 관련된 인력·조직·투자 부족을 지목하고, 다른 통신사 수준까지 끌어올릴 것을 요구했다.
과학기술정보통신부는 27일 광화문 정부서울청사에서 브리핑을 통해 "기간통신사업자인 LG유플러스에 대한 조사·점검 결과 여러 가지 취약점이 확인됐으며, 이에 대해서는 LG유플러스에 책임있는 시정조치를 요구했다"고 밝혔다.
과기정통부는 지난 1월 초부터 LG유플러스를 대상으로 연이은 사이버공격으로 고객정보 유출, 유선인터넷 등 장애가 발생하고, 국민들의 추가적인 피해가 우려되자 지난 2월 특별조사점검단을 꾸려 LG유플러스의 정보보호 예방 대응 체계를 점검해왔다.
과기정통부는 LG유플러스에서 2018년 6월쯤 생성된 29만7117명분 개인 정보가 고객 인증 시스템에서 유출됐음을 확인했다.
유출 경로는 파악되지 않았다. 시스템 접속기록 의무보존 관리기관이 경과해 2018년 당시 해당 시스템과 DB 접속 등에 대한 로그 정보가 거의 남아 있지 않아았기 때문이다.
다만, 고객 인증 데이터베이스 시스템의 웹 관리자 계정 암호가 시스템 초기암호로 설정돼 있었고, ▲시스템에 웹취약점이 있어 해당 관리자 계정으로 악성코드를 설치할 수 있었으며, 관리자의 DB접근제어 등 인증체계도 미흡해 파일이 유출된 것으로 추정된다.
홍진배 과기정통부 네트워크정책실장은 "해커가 3천만명 데이터를 가지고 있다고 이미지 파일만 제시하며 주장하지만 (사실이라고) 단정하기 어렵다"면서도 "유출 규모가 더 확대될 수 있는 가능성도 배제하기 어렵다"고 말했다.
고객정보 유출로 인한 2차 피해에 대해서는 스미싱, 이메일 피싱 등이 우려되는 상황이다. 다만, 지금까지 당국에 파악된 2차 피해 사고는 없었다. 불법 로그인, 유심(USIM) 복제는 비밀번호 암호화 등 조치로 피해 발생 가능성이 작다고 판단했다.
또한 LG유플러스의 유선 인터넷망을 대상으로 한 디도스 공격은 내부 라우터 장비 외부 노출, 라우터 간 접근제어 정책 미흡, 주요 네트워크 구간 보안장비 미설치 등이 원인으로 지목됐다.
LG유플러스 광대역데이터망의 주요 라우터에 대한 디도스 공격은 지난 1월 29일과 2월 4일 5회에 걸쳐 이뤄져 총 120분 간 유선인터넷, VOD, 070전화 서비스에 장애가 발생했다.
공격자는 라우터 장비에 다량의 비정상 패킷이 유입시켰고 그 결과 중앙처리장치(CPU) 이용률이 평소 20% 미만에서 60~90%까지 급상승하는 등 라우터 과부하를 유발하는 '자원 소진 공격'이 취해진 것으로 분석됐다.
특히, 다른 통신사는 라우터 정보 노출을 최소화하고 있지만, LG유플러스는 디도스 공격 전에 약 68개 이상의 라우터가 외부에 노출돼 있었고, 주요 라우터는 신뢰할 수 없는 장비와도 통신이 가능한 상태로 운영돼 비정상 패킷 수신이 가능했다.
정부는 "일반적으로 접근제어 정책(ACL, Access Control List)을 통해 라우터 간 통신유형을 제한하나, LG유플러스는 이러한 보안조치가 미흡했다"고 지적했다.
과기정통부는 이들 보안 사고의 핵심 원인으로 LG유플러스의 정보보호 투자가 타사 대비 현저히 떨어지는 점을 꼽았다.
지난해 LG유플러스의 전체 정보통신 투자 대비 정보보호 투자액 비중은 3.7%로 KT 5.2%, SKT 3.9%보다 낮았다. 정보보호 인력도 KT 336명, SKT 305명에 비해 훨씬 적은 91명 수준이었다.
여기에 LG유플러스에서는 고객정보 등이 포함된 대용량 데이터가 외부로 유출될 때, 이러한 비정상 행위의 위험성을 실시간으로 감시하고 통제할 수 있는 자동화된 시스템이 없었던 것으로 조사됐다.
네트워크 각 구간에 침입 탐지·차단 보안장비가 없었고, 전사 IT 자원에 대한 통합 관리시스템도 부재했으며, IT 및 정보보호 관련 조직이 여러 곳에 분산돼 있어 긴급 상황 발생 시, 유기적인 대응 및 빠른 의사결정에 어려움이 있었던 것으로 분석됐다.
과기정통부는 LG유플러스가 정보보호 인력과 예산을 타사 수준까지 확대할 것과 최고경영자(CEO) 직속 정보보호 조직 구성, 맞춤형 모의훈련 및 C레벨 포함 보안 필수교육을 도입할 것을 요구했다.
또 분기별로 보안 취약점을 점검하고 실시간 모니터링 체계와 IT 자산 통합 관리 시스템 개발·구축, 라우터 보호 시스템(IPS) 등 보안 장비 확충하라고 했다.
한편, LG유플러스는 과기정통부의 시정 요구에 대해 "올해 초 발생한 정보유출과 인터넷 접속 오류로 인해 불안과 불편을 느끼셨을 고객분들께 다시 한번 사과드린다"며 "과학기술정보통신부의 원인 분석 결과에 따른 시정 요구사항을 전사적인 차원에서 최우선으로 수행할 예정"이라고 고개를 숙였다.
- 이메일 :jebo@cbs.co.kr
- 카카오톡 :@노컷뉴스
- 사이트 :https://url.kr/b71afn
CBS노컷뉴스 황영찬 기자 techan92@cbs.co.kr
▶ 기자와 카톡 채팅하기▶ 노컷뉴스 영상 구독하기
Copyright © 노컷뉴스. 무단전재 및 재배포 금지.