소비자주권,전화번호와 같은 식별번호 구조로 위치추적·표적형 스미싱·유심 복제 등 피해 우려
LG유플러스, " 규정이나 국제 표준 위반은 아니다" …대대적인 보안 강화로 개인정보 유출 차단
일부 소비자단체와 LG유플러스가 전화번호를 조합하는 방식으로 가입자에게 식별번호(IMSI)를 부여하는 구조는 사실상 핵심 개인정보를 공개하는 것과 다름없고 이로인해 정보유출에 따른 고객 피해가 우려되는 문제를 놓고 논란이 한창이다.
소비자주권시민회의(소비자주권)은 이동통신 3사 중 유독 LG유플러스가 통신망에서 특정 서비스에 가입한 사용자를 식별하기 위해 부여하는 전화번호 조합방식의 식별번호(IMSI)는 사실상 전체 가입자의 핵심 식별정보가 외부에 그대로 노출된 것과 다름없다고 주장한다. 통신당국과 보안 업계에서는 이를 두고 "보안 관리 미흡"과 "개인정보 보호 원칙 위배"라고 비판한다.
이에 반해 LG유플러스는 이는 "현재까지의 규정이나 국제 표준 위반은 아니다"라는 입장이다. 국제 이동통신 표준(3GPP)에서는 식별번호를 생성할 때 난수(Random Number)를 사용할 것을 권고하고 있지만, 이를 강제하는 의무 규정은 아니라고 주장한다.
20일 통신업계에 따르면 소비자주권은 지난 17일 낸 성명을 통해 LG 유플러스가 전화번호와 동일한 가입자 식별번호를 부여해 사실상 1,100만 가입자 식별 정보를 외부에 노출시키고 있다고 지적했다. 이로 인해 가입자들은 위치추적·표적형 스미싱·유심 복제 등 심각한 2차 피해 우려에 노출돼 있다고 주장했다.
소비자주권의 우려는 현실화 될 수 있다. 실제 LG유플러스는과거 통신사 침해사고에서 식별번호를 부실하게 관리해 오다 개인정보보호위원회의 지적을 받은 바 있다. LG유플러스는 SK텔레콤과 KT와는 달리 난수 기반 방식으로 식별번호를 부여해 특정 개인을 식별하기 어렵도록 운영하고 있지 않다.
소비자 주권은 LG 유플러스의 전화번호와 동일한 가입자식별번호(IMSI) 구조는 여러 범죄에 악용될 수 있다고 우려한다. 우선 전화번호만으로 가입자식별번호를 특정할 수 있어 가짜 기지국(IMSI Catcher)을 통해 특정 가입자의 위치를 실시간으로 추적하는 것이 가능해진다.
표적형 스미싱 및 보이스피싱에 이용될 수도 있다. 특정 지역에서 수집된 가입자식별번호 정보를 기반으로 학교, 재난지역 등 특정 집단을 겨냥한 정밀 범죄가 발생할 수 있다. 또한 가입자식별번호(IMSI)는 복제의 핵심 요소 중 하나로, 추가 정보와 결합될 경우 도청, 무단 결제, 본인인증 탈취 등 심각한 피해로 이어질 수 있다.
이에 소비자주권은 LG유플러스에 대해 무엇보다 전 가입자를 대상으로 2차 피해 위험과 대응 방안을 포함한 문자 고지를 지체 없이 실시하라고 요구했다. 또한 희망자에 한정하지 말고 전 가입자 대상 유심 교체를 즉각 시행하고, 이에 대한 보상 방안을 마련하라고 촉구했다.
이에 대해 LG유플러스는 법을 어긴 것은 아니어서 정당성에 전혀 문제가 없다는 입장이다. 그러나 만에 하나 정보유출로 가입자들이 피해를 보는 일이 없도록 하기 위해 보안강화에 들어갔다.
식별번호 체계가 보안에 취약하다는 의견이 많은 데 따라 무엇보다 전화번호가 포함된 식별번호 체계를 무작위 번호(난수)로 전면 교체하기로 했다. LG유플러스는 스마트폰 사용자는 물론 스마트워치, 키즈폰, LG유플러스 망 알뜰폰(MVNO) 가입자까지 포함한전 고객을 대상으로 대대적인 유심칩 교체작업을 오는 4월13일부터 진행할 예정이다.
희망 고객을 대상으로 유심을 무상으로 교체해주거나, 매장 방문 없이 소프트웨어 업데이트를 통해 식별번호를 재설정하는 방식을 병행할 것으로 전해졌다.
또한 예측 가능한 번호 체계를 완전히 폐기하고 가입자 식별번호를 난수·암호화를 도입해 보안성을 높일 계힉이다. 식별번호I 구성 요소 중 개인 식별 구간을 전화번호와 상관없는 무작위 숫자로 부여하여 외부에서 가입자를 특정할 수 없게 만든다는 것이다. 올해 상용화하는 5G 단독모드(SA) 환경에서는 식별번호 자체를 암호화하여 전송하는 기술을 전면 의무적으로 적용할 계획이다.
LG유플러스는 이제 단순 번호교체를 넘어 전사적인 보안 인프라를 강화 방침을 굳혔다. 지난 2023년 보안 사고 이후 매년 1,000억 원 이상의 예산을 정보보호에 투자하고 있으며, 향후 5년간 총 7,000억 원 규모의 투자를 예고했다.
아울러 AI 기반으로 이상 징후를 탐지한다. 이미 공개된 공개된 '알파키(AlphaKey)' 솔루션을 통해 사용자의 접속 패턴을 AI가 학습하고, 평소와 다른 이상 접근이나 정보 유출 시도를 실시간으로 차단한다는 것이다.
LG유플러스가 이같은 일련의 보완대책을 제대로 실행할 것 같으면 가입자들은 자신의 정보고 외부로 유출돼 피해를 입을 수 있는 공포에서 완전해 해방될 것으로 보인다.
댓글
0