LGU+, IMSI 보안 논란⋯"4월 13일부터 유심 재교체"

난수 아닌 번호 조합 방식 확인⋯IMSI 암호화·난수화 체계 전환 추진

[아이뉴스24 서효빈 기자] LG유플러스가 가입자 식별번호(IMSI)를 생성하는 과정에서 휴대전화 번호 일부를 반영해온 사실이 확인되면서 보안 논란이 제기됐다.

사진은 LG유플러스 사옥. [사진=LGU+]

17일 통신업계에 따르면 LG유플러스는 LTE 도입 초기인 2011년부터 현재까지 IMSI 부여 과정에서 가입자의 전화번호를 조합하는 방식을 사용해 온 것으로 파악됐다. IMSI는 유심에 저장되는 15자리 고유 식별값으로 통신망에서 이용자를 구분하는 핵심 정보다.

일반적으로 IMSI는 외부에서 특정 개인을 식별하기 어렵도록 난수 기반으로 구성된다. SK텔레콤과 KT 역시 무작위에 가까운 방식으로 번호를 부여하는 구조를 사용하고 있다. 반면 LG유플러스는 일부 구조에 전화번호 정보를 포함해 온 것으로 알려졌다.

IMSI 값이 단독으로 노출될 경우 즉각적인 해킹으로 이어지지는 않는다. 다만 다른 정보와 결합될 경우 이용자 식별 가능성이 높아지고 보안 위험이 커질 수 있다. 특정 이용자의 전화번호를 알고 있을 경우 IMSI 추정 가능성이 높아질 수 있고, 복제폰 시도 등 추가 위협으로 이어질 가능성도 배제할 수 없다는 분석이다.

LG유플러스도 해당 문제를 인지하고 대응에 나섰다. 4월 13일부터 희망 고객을 대상으로 유심 재설정 또는 교체를 진행할 계획이다. 또한 △5G 단독모드(SA)에서 IMSI 암호화 기술(SUCI) 100% 의무 적용 △IMSI 체계 난수화 도입 등을 추진한다.

/서효빈 기자(x40805@inews24.com)