정보 결합 시 악용 가능성…내달 유심 교체
(서울=연합뉴스) 박형빈 기자 = LG유플러스가 개인을 식별하는 통신 정보인 '국제이동가입자식별정보(IMSI)'를 가입자의 실제 휴대전화 번호를 활용해 부여해온 것으로 드러났다.
LG유플러스는 개인정보 보호 조치를 강화할 필요가 있다는 판단과 외부 지적에 따라 유심(USIM) 교체와 소프트웨어 업그레이드 등 시정 대책을 추진하기로 했다.
17일 업계 등에 따르면 LG유플러스는 2011년 4세대 이동통신(4G) 도입 당시부터 현재까지 IMSI 값을 생성할 때 가입자의 실제 번호를 일부 포함하는 방식으로 발급하고 있다.
IMSI는 유심에 저장되는 15자리 번호로 국가 번호, 이동통신사 식별번호, 개인식별번호 등으로 구성된다. 통신망에서 사용자를 인증하는 데 활용되는 일종의 '통신상의 주민등록번호'다.
SK텔레콤과 KT가 개인식별번호를 난수 등을 활용해 예측이 어려운 방식으로 부여하는 것과 달리 LG유플러스는 전화번호를 조합하는 방식을 사용해온 것이다.
전문가들은 IMSI 값이 단독으로 유출된다고 해서 즉각적인 해킹으로 이어지지는 않지만, 다른 정보와 결합할 경우 복제폰 제작 등 보안 위협으로 이어질 가능성이 있다고 설명한다.
LG유플러스 측은 4G 도입 초기 당시 국제 표준이 명확하지 않아 2G 시절 사용하던 방식을 그대로 채택했으며 규정 위반은 아니라는 입장이다.
다만 보안 업계에서는 개인정보를 식별 가능한 형태로 장기간 유지한 점은 관리가 미흡했다는 지적이 나온다.
LG유플러스는 지난해 SK텔레콤에서 발생한 정보 유출 사고 이후 IMSI 노출 위험성이 사회적 화두로 떠오르자 관련 시스템 개선 필요성을 검토해온 것으로 전해졌다.
이 문제를 인지한 과학기술정보통신부와 한국인터넷진흥원(KISA), 국회 과학기술정보방송통신위원회도 LG유플러스와 두 차례 회의를 열고 대책을 논의했다.
LG유플러스는 유심 교체 물량을 확보해 다음 달 13일부터 희망 고객을 대상으로 유심 재설정 또는 교체를 시작하고, 오는 11월 소프트웨어 업데이트를 통해 물리적인 교체 없이도 IMSI를 변경할 수 있는 기술을 개발해 적용할 방침이다.
LG유플러스는 조만간 홈페이지와 앱 등 자사 채널을 통해 구체적인 고객 안내와 지원 방안을 공지할 예정이다.
박형빈(binzz@yna.co.kr)
