LGU+ 개인정보 유출 원인 '보안 취약'… 시스템 고도화에 1000억 투자

올해 초 발생한 대규모 개인정보 유출 사고와 관련해 정부의 원인 조사 결과가 발표된 가운데 LG유플러스가 재차 사과하며 정보보호 투자를 늘리는 등 재발 방지 조치 강화 방안을 내놨다. 사진은 LG유플러스 서울 용산 사옥. /사진=LG유플러스

LG유플러스의 대규모 개인정보 유출 사태가 고객인증 데이터베이스(DB)시스템 보안이 취약해 발생했다는 정부 조사 결과가 나왔다. LG유플러스는 재발 방지를 위한 정부의 시정 조치를 수용할 방침이며 이를 위해 1000억원을 보안 관련 투자에 쏟아붓는다.

━

고객인증 DB 취약점 노출… 시스템 제조사 계정 그대로 사용

━

과학기술정보통신부는 한국인터넷진흥원(KISA)과 함께 'LG유플러스 침해사고 원인분석 및 조치방안'을 지난 27일 발표했다.

올해 1월 LG유플러스를 대상으로 한 사이버 공격으로 대규모 이용자 정보 유출, 유선 인터넷 장애 등이 발생했는데 과기정통부는 KISA와 함께 민관합동조사단, 특별조사점검단 등을 운영해 원인을 조사했다.

조사 결과 총 29만7117명의 데이터가 유출됐다. 유출 정보 내용은 휴대전화번호, 성명, 주소, 생년월일, 암호화된 주민등록번호, 이메일, 모델명, 유심 고유번호 등이다.

과기정통부에 따르면 고객 정보 유출은 고객인증 DB에서 발생됐을 것으로 추정된다. LG유플러스 고객인증 DB시스템의 웹 관리자 계정 암호가 시스템 초기 암호인 'admin'으로 설정돼 있었다. 이는 시스템 제조사가 설정한 계정과 비밀번호를 그대로 사용했다는 뜻이다.

이 같은 계정과 비밀번호는 보안 분야 지식이 있는 사람이라면 쉽게 알아낼 수 있었고 공격자(해커)는 여지없이 이를 파고들었던 것이다. 관리자 계정에 접근한 해커들은 이를 통해 악성코드(웹셸)를 설치했을 것으로 보인다.

과기정통부가 한국인터넷진흥원(KISA)과 함께 'LG유플러스 침해사고 원인분석 및 조치방안'을 발표했다. /사진=뉴스1

과기정통부는 관리자의 DB접근제어 등 인증체계가 미흡해 해커가 웹셸을 이용해 파일을 유출해 나갈 수 있었을 것으로 봤다.

LG유플러스는 이용자 데이터가 유출될 때 이를 실시간으로 감지하고 통제할 수 있는 감시 체계가 없었다고 한다. 시스템별 로그 저장 기준과 보관기간 역시 일정하지 않았다.

과기정통부는 이용자 정보 유출로 스미싱, 이메일 피싱, 불법 로그인, 유심 복제 등 2차 피해를 우려했다. 불법 로그인과 유심 복제의 가능성은 낮다고 판단했다.

디도스 공격으로 인한 인터넷 접속 장애는 LG유플러스의 라우터(서로 다른 네트워크를 연결해주는 장치)가 외부에 노출된 것이 발단이었다.

타 통신사와는 달리 LG유플러스는 약 68개 이상의 라우터가 외부에 노출됐고 공격자는 해당 장비를 공략해 네트워크 장애를 일으켰다.

LG유플러스 주요 라우터는 신뢰할 수 없는 장비와도 통신이 가능한 상태로 운영돼 비정상 패킷 수신이 가능했다. 접근 제어 정책(ACL) 등 보안 조치가 미흡했던 것이다.

라우터 보호를 위한 보안장비(IPS)가 설치되지 않았던 점도 원인 중 하나였다. 네트워크 각 구간에 침입 탐지·차단 보안장비가 없었고 전사 정보기술(IT) 자원에 대한 통합 관리 시스템도 부재했다.

━

타사보다 부족한 정보 보안 투자… "고강도 재발 방지책 추진"

━

LG유플러스가 정보 유출 방지에 1000억원을 쏟아 붓는다. 사진은 LG유플러스 서울 용산 사옥. /사진=뉴스1

보안 전문인력과 정보보호 투자도 부족했다. 지난해 통신 3사 정보보호 투자액을 비교하면 KT가 1021억원(336명)으로 1위였고 SK텔레콤(SK브로드밴드 포함)이 860억원(305명) 이었던 반면 LG유플러스는 292억원(91명)에 그쳤다.

과기정통부는 분기별로 1회 이상 모든 정보기술(IT) 자산에 대한 보안 취약점을 점검하고 제거할 것을 요구했다. 이어 침해사고 예방·대응·분석 등에 활용할 수 있는 IT자산 통합관리시스템을 도입해 시스템 관리체계도 개선하라고 주문했다.

주요 보안인력 역시 타 통신사와 비슷한 수준으로 보강해야 한다고 했다.

LG유플러스는 다시 한번 고객를 숙이면서 정부 요구를 전적으로 수용하겠다고 밝혔다.

회사 관계자는 "사고 발생 시점부터 사안을 심각하게 받아들이고 있다"며 "과기정통부의 원인 분석 결과에 따른 시정 요구사항을 전사적인 차원에서 최우선적으로 수행할 것"이라고 강조했다.

정보 유출 사태 이후 관련 노력을 지속하고 있다는 점도 언급했다.

이 관계자는 "지난 2월 CEO 직속 사이버안전혁신추진단을 구성하고사이버 공격에 대한 자산 보호와 인프라 고도화를 통한 정보 보호 강화, 개인정보 관리 체계 강화, 정보 보호 수준 향상 등을 수행하고 있다"며 "이를 위해 1000억원 규모의 대규모 투자도 진행하고 있다"고 설명했다.

이어 "화이트 해커 등 외부 전문가를 활용한 취약점 점검과 기술적 예방 활동 강화, 인공지능(AI) 기반 개인정보 탐지 시스템 구축, IT 서비스 이상 행위 감시 시스템 고도화 등을 위한 세부 과제를 수립해 추진하고 있다"고 부연했다.

이밖에 "외부 전문가 그룹으로 구성된 정보보호자문위원회를 가동하고 미래 보안기술 연구·투자, 대학 등 교육기관과 연계한 사이버 보안 전문 인력 육성 등도 함께하고 있다"며 "진행상황은 단계별로 투명하게 공개하고 종합적 보안 대책은 추후 상세히 설명하는 시간을 갖겠다"고 강조했다.

양진원 기자 newsmans12@mt.co.kr
<저작권자 ⓒ '성공을 꿈꾸는 사람들의 경제 뉴스' 머니S, 무단전재 및 재배포 금지>