LGU+ IMSI 논란 확산…법안 발의·위약금 요구까지

LGU+ 전화번호 기반 IMSI 구조 도마…보안 취약성 논란최민희 "통신식별정보 보호법 발의한다"…제도 개선 착수시민단체 "1100만 가입자 노출 수준"…위약금 면제 요구 확산

[뉴스토마토 이지은 기자] LG유플러스(032640)가 가입자식별번호(IMSI)에 전화번호를 반영해온 구조가 드러나면서, 보안 논란이 확산되고 있습니다. 정치권에서는 관련 법안 발의가 추진되는 한편, 시민단체를 중심으로 위약금 면제 요구까지 제기되며 파장이 커지는 모습입니다.

 

18일 국회 과학기술정보방송통신위원회 최민희 위원장실에 따르면 최민희 위원장은 IMSI에 전화번호가 연동되는 문제를 방지하기 위한 전기통신사업법 개정안(통신이용자식별정보 보호법)을 조만간 발의할 방침입니다. 

 

최민희 국회 과학기술정보방송통신위원장. (사진=뉴시스)

 

IMSI는 국가코드와 사업자코드, 가입자식별번호로 구성되는 이동통신 가입자 고유 식별값입니다. 일반적으로는 외부에서 유추가 어려운 난수 기반으로 설계됩니다.

 

하지만 최민희 의원실이 이동통신3사로부터 제출받은 자료에 따르면 SK텔레콤(017670)과 KT(030200)는 각각 난수 기반 또는 제조사 일련번호 방식으로 IMSI를 운영하는 반면, LG유플러스는 가입자의 휴대전화 번호를 IMSI에 반영해온 것으로 확인됐습니다.

 

이 같은 구조에서는 전화번호만으로 IMSI를 추정할 수 있어 보안 취약성이 제기됩니다. 최 의원실은 "해당 사실을 즉시 공개할 경우 오히려 악용 가능성을 높일 수 있다고 판단해, 과학기술정보통신부·개인정보보호위원회·한국인터넷진흥원(KISA)과 LG유플러스와 함께 비공개로 대응 방안을 논의해 왔다"고 전했습니다. IMSI 노출만으로 직접적인 피해 가능성은 제한적이지만, 위치 추적이나 표적형 공격 등 2차 피해로 이어질 가능성은 배제할 수 없다는 판단에서입니다.

 

최민희 위원장은 "이번 사례는 국제 기준이나 현행 법 위반은 아니지만, 해커에게 공격 빌미를 제공할 수 있는 구조적 취약점"이라며 "재발 방지를 위한 제도적 보완이 필요하다"고 강조했습니다. 이에 개정안에는 IMSI 등 통신 식별체계를 번호자원 관리계획에 포함하고, 개인정보를 유추할 수 없는 방식으로 설계하도록 하는 내용을 담을 계획입니다. 

 

LG유플러스 용산 사옥. (사진=뉴스토마토)

 

LG유플러스는 시장의 지적에 따라 오는 4월13일부터 전 고객을 대상으로 유심 무상 교체와 재설정을 진행하고, IMSI 체계를 난수 기반으로 전환할 계획입니다. 올해 11월까지 원격 재설정을 통해 전체 가입자 적용을 완료한다는 방침입니다. 올해 상용화 예정인 5G SA에서는 IMSI를 암호화해 전달하는 SUCI(Subscriber Concealed Identifier)를 100% 적용할 계획입니다. IMSI를 직접 노출하지 않고 암호화된 형태로 처리하는 방식으로, 5G 보안 수준을 한층 높이는 기술입니다.

 

이재원 LG유플러스 커스터머부문장 부사장은 "고객이 보다 안전하게 이동통신 서비스를 이용할 수 있도록 보안 체계를 강화했다"며 "적용 과정에서 고객 불편을 최소화하겠다"고 말했습니다.

 

그럼에도 시민단체를 중심으로는 LG유플러스의 대응이 충분치 않다는 지적이 이어지고 있습니다. LG유플러스가 LTE 도입 초기인 2011년부터 약 1100만 가입자에 대해 전화번호를 조합한 방식으로 IMSI를 부여해온 것으로 파악되면서, 사실상 핵심 식별정보가 노출된 것과 다름없다는 비판입니다.

 

소비자주권시민회의는 "전화번호와 동일한 구조의 IMSI는 전 가입자 식별정보가 공개된 것과 유사한 수준"이라며 "위치 추적, 스미싱, 유심 복제 등 2차 피해 가능성을 배제할 수 없다"고 주장했습니다. 이어 "전 가입자를 대상으로 피해 위험과 대응 방안을 포함한 문자 고지를 즉시 실시하고, 유심 교체 이전 해지 고객에 대해서는 선제적 위약금 면제 등 실질적인 보호 조치가 필요하다"고 강조했습니다.

 

이지은 기자 [e-mail]

이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.