LGU+, 고객 전화번호로 IMSI 발급…보안 우려 지적(종합)

정보 결합 시 악용 가능성…내달 전고객 유심 무상 교체
5G SA는 암호화된 IMSI 의무 적용

(서울=연합뉴스) 박형빈 기자 = LG유플러스가 개인을 식별하는 통신 정보인 '국제이동가입자식별정보(IMSI)'를 가입자의 실제 휴대전화 번호를 활용해 부여해온 것으로 드러났다.

LG유플러스는 개인정보 보호 조치를 강화할 필요가 있다는 판단과 외부 지적에 따라 유심(USIM) 교체와 소프트웨어 업그레이드 등 시정 대책을 추진하기로 했다.

17일 업계 등에 따르면 LG유플러스는 2011년 4세대 이동통신(4G) 도입 당시부터 현재까지 IMSI 값을 생성할 때 가입자의 실제 번호를 일부 포함하는 방식으로 발급하고 있다.

IMSI는 유심에 저장되는 15자리 번호로 국가 번호, 이동통신사 식별번호, 개인식별번호 등으로 구성된다. 통신망에서 사용자를 식별하는 데 활용되는 일종의 'ID'다.

SK텔레콤과 KT가 개인식별번호를 난수 등을 활용해 예측이 어려운 방식으로 부여하는 것과 달리 LG유플러스는 전화번호를 조합하는 방식을 사용해온 것이다.

전문가들은 IMSI 값이 단독으로 유출된다고 해서 즉각적인 해킹으로 이어지지는 않지만, 다른 정보와 결합할 경우 복제폰 제작 등 보안 위협으로 이어질 가능성이 있다고 설명한다.

LG유플러스 측은 4G 도입 초기 당시 국제 표준이 명확하지 않아 2G 시절 사용하던 방식을 그대로 채택했으며 규정 위반은 아니라는 입장이다.

다만 보안 업계에서는 개인정보를 식별 가능한 형태로 장기간 유지한 점은 관리가 미흡했다는 지적이 나온다.

LG유플러스는 지난해 SK텔레콤에서 발생한 정보 유출 사고 이후 IMSI 노출 위험성이 사회적 화두로 떠오르자 관련 시스템 개선 필요성을 검토해온 것으로 전해졌다.

이 문제를 인지한 과학기술정보통신부와 한국인터넷진흥원(KISA), 국회 과학기술정보방송통신위원회도 LG유플러스와 두 차례 회의를 열고 대책을 논의했다.

LG유플러스는 유심 교체 물량을 확보해 다음 달 13일부터 희망 고객을 대상으로 무상 유심 재설정 또는 교체를 시작하고, 오는 11월 소프트웨어 업데이트를 통해 물리적인 교체 없이도 IMSI를 난수로 변경할 수 있는 기술을 개발해 적용할 방침이다.

유심 교체 및 재설정을 위해 '매장 방문 예약 시스템'을 운영하고 시스템 운영 시점은 추후 안내한다. 대상은 LG유플러스 이동전화 서비스를 이용하는 전 고객이며, 스마트워치 등 세컨드디바이스와 키즈폰, LG유플러스망을 이용하는 알뜰폰 고객도 포함된다.

아울러 올해 상용하는 5G 단독모드(SA)에서는 IMSI를 그대로 노출하지 않고 암호화된 형태로 전달하는 기술(SUCI)을 100% 의무 적용할 예정이다.

LG유플러스는 "고객의 유심 및 재설정 과정에서 데이터나 서비스 이용에는 어떠한 영향도 없다"며 "교체 희망 고객의 대기 불편을 최소화하고 원활한 유심 공급과 교체를 순차적으로 시행할 계획"이라고 밝혔다.

binzz@yna.co.kr

▶제보는 카톡 okjebo