LGU+, IMSI 논란에…"보안사고 가능성 낮다"

"기존 체계는 표준 부합" 해명…5G SA서 IMSI 암호화 적용
4월 13일부터 유심 무상 교체…난수 기반 체계로 개편

(서울=뉴스1) 김민수 기자 = LG유플러스(032640)가 가입자 식별번호(IMSI) 운용 방식과 관련한 보안 우려에 대해 문제 가능성은 제한적이라는 입장을 밝히고, 유심 교체와 체계 개편에 나선다.

LG유플러스는 17일 "기존 IMSI 체계는 국제 표준에 부합하는 것으로 안전하게 운영돼 왔고, 특히 고객을 인증할 때 암호화된 키 값 등을 추가로 확인하기 때문에 보안사고로 이어질 가능성은 매우 낮다"고 설명했다.

회사 측은 보안 수준을 한층 강화하기 위해 오는 4월 13일부터 전 고객을 대상으로 유심(USIM) 무상 교체 및 재설정을 순차적으로 진행할 계획이다.

LG유플러스는 5세대 이동통신 단독모드(SA) 환경에서 IMSI를 암호화하는 기술인 SUCI(Subscriber Concealed Identifier)를 적용한다. SUCI는 IMSI를 그대로 노출하지 않고 암호화된 값으로 변환해 전달하는 방식이다.

IMSI 체계도 개편한다. 가입자 식별 영역에 난수를 적용한 새로운 구조를 도입해 예측 가능성을 낮추고 보안성을 강화할 방침이다. 변경된 IMSI는 유심 교체 또는 재설정 시 자동으로 적용된다.

이번 조치는 내부 정보보호 체계 점검 과정에서 개선 필요성이 확인된 데 따른 것으로, LG유플러스는 지난해부터 관련 시스템 설계와 개발, 상용 검증을 진행해 왔다고 설명했다.

앞서 LG유플러스가 IMSI 생성 과정에서 휴대전화 번호를 일부 반영해 온 사실이 알려지면서, 정보 결합 시 식별 및 악용 가능성이 있다는 지적이 제기됐다.

일반적으로 IMSI는 외부에서 특정 개인을 식별하기 어렵게 난수 기반으로 구성되는 경우가 많다. SK텔레콤과 KT 역시 개인식별번호를 무작위 값에 가깝게 부여하는 방식이다.

반면 LG유플러스는 번호 체계 일부에 전화번호 정보를 반영해 온 것으로 알려졌다.

IMSI 값이 단독으로 노출되더라도 즉각적인 해킹으로 이어지지는 않지만, 다른 정보와 결합할 경우 보안 위험이 커질 수 있다는 지적이 제기된다.

특정 이용자의 전화번호를 알고 있는 경우 IMSI를 통해 식별 가능성이 높아질 수 있고, 상황에 따라 복제폰 시도 등으로 이어질 여지도 배제할 수 없다는 비판이 나온다.

유심 교체 및 재설정 대상은 4월 13일 기준 LG유플러스 이동전화 이용자 전체로, 스마트워치 등 세컨드디바이스와 알뜰폰(MVNO) 이용자도 포함된다. 이후 신규 가입자나 번호이동 고객은 변경된 체계가 적용된 유심을 받게 된다.

LG유플러스는 향후 매장 방문 예약 시스템과 원격 유심 재설정 기능을 통해 고객 불편을 최소화한다는 계획이다.

이재원 LG유플러스 컨슈머부문장 부사장은 "이번 보안체계 강화는 고객들이 보다 안전하게 이동통신 서비스를 이용할 수 있도록 하기 위한 조치"라며 "적용 과정에서 불편을 최소화할 수 있도록 준비하겠다"고 말했다.

kxmxs4104@news1.kr

IT/과학