정보보호 '부실' LG유플러스 왜 이러나…29만 개인정보 유출에 디도스 공격까지

LGU+, 개인정보 유출·인터넷 장애 발생
LGU+ 정보보호 투자액 통신3사 '꼴찌'
뒤늦게 '전사 위기관리 TF' 설치
과기정통부 "책임 묻겠다" 경고

LG유플러스가 대규모 고객 개인정보 유출과 잇따른 인터넷 서비스 장애로 곤혹을 치르고 있다. LG유플러스 용산사옥. 연합뉴스 제공

LG유플러스가 위기에 빠졌다. 회사 서비스에 가입한 고객 29만 명의 개인정보가 빠져나갔고, 일주일 동안 다섯 차례 전국 인터넷망 장애가 발생했다. 개인정보 유출은 해킹, 인터넷 장애는 정체를 알 수 없는 디도스(DDoS·분산서비스거부) 공격이 원인으로 추정된다. LG유플러스는 통신사의 기본이라 할 수 있는 개인정보 철저 보호와 통신서비스 안정적 운용 모두에서 허점을 드러냈다.

잇따른 인터넷 장애…"디도스 공격 추정"

LG유플러스 인터넷 서비스는 최근 일주일 동안 다섯 차례 디도스 공격을 받아 서비스 장애가 일어났다. 특히 PC방 피해가 다수 신고되고 있다. LG유플러스 측은 PC방에 디도스 공격이 다수 발생한 이유를 파악 중이다. 사진은 서울에 위치한 한 PC방 내부. 뉴시스 제공

5일 LG유플러스는 전날 ①오후 4시 57분~5시 40분, ②오후 6시 7～23분 등 두 차례 걸쳐 59분 동안 인터넷 서비스에 장애가 일어났다고 밝혔다. 이때 LG유플러스 인터넷 회선을 쓰는 소비자들은 접속이 잘 안 되거나 끊겨버리는 피해를 봤다.

특히 장애가 일어난 시간이 한창 주말 저녁 영업을 하고 있을 때라 카드 결제기와 계산기, 주문 기기를 쓰는 자영업자들이 손님을 제대로 받지 못했다. 인터넷 커뮤니티에는 "LG유플러스 인터넷이 또 멈췄다", "PC방·식당 같은 사업자들은 LG유플러스를 떠나야 한다" 같은 성토 글이 잇따라 올라왔다.

구체적 피해 범위와 서비스 장애 이유는 파악 중이지만, 디도스 공격에 따른 트래픽 과부하가 원인으로 꼽혔다. 앞서 LG유플러스 인터넷은 지난달 29일 오전 2시와 오후 5시, 오후 11시에도 인터넷 장애가 발생해 총 63분 동안 서비스 이용에 차질을 빚었다. 이번 공격까지 더하면 일주일 사이 다섯 번이나 서비스 장애가 발생한 것.

특히 여러 대의 컴퓨터를 영업용으로 이용하는 PC방 피해 사례가 계속 접수되고 있다. 왜 PC방에 피해가 몰렸는지 밝혀지지 않았다. LG유플러스 측에 따르면 PC방은 기업 전용 회선과 구조가 비슷하다. 하나의 건물, 사업장 안에서 여러 인터넷 회선을 함께 쓴다. 1차적으로 추정할 수 있는 원인은 디도스 공격이 특정 건물, PC방의 '좌표'를 중심으로 대규모 공격을 하는 방식이다.

하지만 이 경우 특정 사업장에서만 오류가 생길 뿐 지금 같은 전국적 피해를 설명하긴 어렵다. LG유플러스 관계자도 "왜 PC방이 공격 대상이 됐는지 원인을 파악 중"이라고 전했다.

소비자 29만 명 개인정보 유출

LG유플러스 소비자 29만 명의 개인정보도 유출됐다. LG유플러스 홈페이지 캡처

LG유플러스 소비자 29만 명의 개인정보가 빠져나가는 동안 손 놓고 있었다. 18만 명은 LG유플러스 소비자이고, 11만 명은 전자상거래보호법 등에 근거해 분리 보관 중인 서비스 해지 고객 관련 내용이다.

최근 LG유플러스는 기존 통신 서비스 점유율을 바탕으로 보안·온라인동영상서비스(OTT)·인공지능(AI) 등 플랫폼 기업으로 탈바꿈하고 있는 만큼 대규모 정보 유출은 치명적이다. 무엇보다 빠져나간 정보가 고객번호·성명·전화번호·주소·생년월일·암호화된 주민번호·유심번호 등 범위가 넓어 2차 피해도 걱정되는 상황이다.

현재 경찰 등 수사기관이 개인정보 유출 시점과 경위를 파악 중이다. LG유플러스 측은 "같은 일이 생기지 않도록 모니터링 시스템을 강화하겠다"는 입장을 내놨다.

LG유플러스만 장애 발생한 이유는

LG유플러스는 통신 3사 중 정보보호 투자액이 가장 낮은 수준이다. 한국인터넷진흥원(KISA) 제공

주목할 것은 SK텔레콤과 KT, LG유플러스 등 통신 3사가 제공하는 인터넷 서비스 중 LG유플러스만 해킹과 디도스 공격 피해가 발생했다는 점이다. 소비자들은 LG유플러스의 보안 대비 소홀을 지적하고 있다.

과학기술정보통신부 소속 연구기관 한국인터넷진흥원(KISA)이 지난해 12월 발표한 '2022 정보보호 공시 현황 분석보고서'에 따르면, LG유플러스의 정보보호 투자액은 통신 3사 중 꼴찌다. 통신 3사 정보보호 투자액을 구체적으로 살펴보면, KT 1,021억 원, SK텔레콤 627억 원, LG유플러스 292억 원이다. LG유플러스 고객 정보보호 등을 위한 투자액이 KT의 28.5%, SK텔레콤의 46.5% 수준인 셈이다.

왜 하필 LG유플러스가 공격을 당하고 있는가라는 궁금증에 업계는 똑같은 수준의 디도스 공격에도 LG유플러스가 더 취약할 수도 있고, 디도스 공격 주체가 LG유플러스만 골라서 공격했을 가능성 등 여러 시나리오를 보고 있다. 이미현 참여연대 경제금융센터팀장은 "기본적으로 소비자 정보를 보호하고 외부 공격에 대응하기 위한 투자가 부족했던 것 아닌가"라며 "관련 투자와 대비 시스템을 강화해야 한다"고 강조했다.

LG유플러스 뒤늦게 "전사 위기관리 TF 가동"

LG유플러스는 뒤늦게 사태 해결을 위한 '전사 위기관리 태스크포스(TF)'를 가동했다. 하지만 과학기술정보통신부 등 관계 당국은 특별조사점검단을 꾸려 사태 원인을 찾고 LG유플러스에 책임을 묻겠다는 입장이다. 이종호 과기정통부 장관이 지난달 24일 한국인터넷진흥원 인터넷침해대응센터(KISC)를 찾아 홈페이지 해킹 등 사이버 공격 현황 및 비상대응 체계 상황을 점검하고 있다. 과학기술정보통신부 제공

이날 LG유플러스는 뒤늦게 "전사 위기관리 태스크포스(TF)를 가동하겠다"고 밝혔다. 황현식 대표(CEO)를 중심으로 네트워크부문장·최고기술책임자(CTO)·최고리스크관리책임자(CRO) 등 주요 경영진이 참여하는 위기대응 상황실을 꾸렸다. 서울 상암·마곡 사옥에는 200여 명의 비상 인력을 두기로 했고 추가적으로 디도스 공격을 받으면 공격 차단과 트래픽 우회 등 대응 방안을 준비하고 있다.

하지만 소비자 피해가 계속되고 있어 관계 당국의 강도 높은 조사를 피하긴 어려울 전망이다. 같은 날 과기정통부는 LG유플러스 사태 대응을 위해 특별조사점검단을 꾸렸다. 과기정통부 관계자와 민간 전문가를 점검단에 포함시켜 LG유플러스가 사이버 침해 예방과 대응, 관련 보안 정책 등을 제대로 꾸려왔는지 심층 점검하기 위해서다.

네트워크 보안 시스템 점검과 모의해킹 훈련 결과, 디지털포렌식 등 검증이 이뤄질 예정이다. 이종호 과기정통부 장관은 "국민 일상생활 마비로 이어질 수 있는 엄중한 상황"이라며 "LG유플러스에 책임 있는 시정 조치를 요구하겠다"고 경고했다.

송주용 기자 juyong@hankookilbo.com