LG유플러스가 IMSI 식별 과정에서 가입자 휴대폰 번호를 사용해온 사실이 드러나 보안 우려가 커진다. /출처=각 사·최민희 의원실, 그래픽=구글 제미나이



LG유플러스가 이동통신 가입자의 고유 식별 정보인 '국제이동가입자식별정보(IMSI)'를 생성하는 과정에서 가입자의 실제 휴대폰 번호를 조합해 사용해온 것으로 드러났다. 개인정보 유추가 용이한 구조를 장기간 유지해온 점이 확인되면서 보안 관리 체계에 대한 비난이 커진다.

18일 이동통신업계에 따르면 LG유플러스는 4세대 이동통신(LTE) 손오공게임 도입 초기인 2011년부터 현재까지 가입자의 IMSI를 부여할 때 실제 휴대폰 번호를 포함하는 방식을 유지해왔다.
IMSI는 이동통신망에서 가입자를 구분하기 위해 유심(USIM)에 부여되는 15자리의 고유 번호다. 일종의 '주민등록번호' 역할로 보안을 위해 휴대폰 번호와 독립된 무작위 난수로 생성·관리하는 것이 일반적이다. SK텔레콤과 모바일바다이야기하는법 KT는 IMSI 구성 시 국가번호와 통신사 식별번호 이외에 무작위 난수, 유심 제조사 일련번호 등을 부여하는 방식을 채택하고 있다.
LG유플러스는 대한민국 국가번호(450)와 LG유플러스 식별번호(06), 개인 휴대폰 번호를 조합해 IMSI를 구성해왔다. 가입자의 번호가 '010-1234-5678'일 경우 IMSI는 '45006 10123 바다이야기룰 45678'로 설정되는 식이다. 앞 5자리가 고정된 값임을 고려하면 식별 정보 외부 유추가 가능하도록 설계됐다.
통신업계는 식별번호 노출과 'IMSI 캐처'(가짜 기지국 장비)가 결합할 경우 2차 피해로 이어질 수 있다고 지적한다. IMSI 캐처는 인근 단말기의 IMSI 정보를 강제로 수집하는 장비다. LG유플러스의 현행 체계에서는 IMS 바다이야기비밀코드 I에서 전화번호를 역으로 계산해 특정 지역 내 가입자를 선별하고 스미싱·보이스피싱을 수행하는 기술적 토대가 될 수 있다는 지적이다.
국회 과학기술정보방송통신위원회 최민희 위원장은 지난 17일 "이번 사례는 해커에게 공격의 빌미를 제공할 수 있는 보안체계의 명백한 허점"이라며 과기정통부와 개인정보보호위원회, 한국인터넷진흥원 및 LG유플러스와 야마토연타 함께 대책 마련에 착수했다고 밝혔다.
이어 "LG유플러스는 신속히 고객들의 불안을 해소할 수 있는 조치를 서둘러야 한다"며 "과기정통부 역시 피해가 발생하지 않도록 상황을 철저하게 관리해야 할 것"이라고 강조했다. 최 의원은 재발 방지를 위한 '통신이용자 식별정보 보호법'(전기통신사업법 개정안)을 발의해 정부 차원에서의 관리감독을 강화한다는 방침이다.
소비자주권시민회의 역시 17일 성명을 통해 "이는 단순한 관리 부실을 넘어 가입자를 잠재적 범죄 위험에 노출시킨 구조적 문제"라고 비판하며 해지를 원하는 고객에게 선제적으로 위약금을 면제할 것을 촉구했다.
LG유플러스는 대책 마련에 나섰다. 오는 4월 13일부터 번호이동 및 신규 가입자에게 휴대폰 번호가 아닌 난수가 부여되는 시스템을 자동 적용한다. 기존 가입자에게는 유심 무상 교체를 지원하며 11월에는 소프트웨어 업데이트를 통해 물리적 교체 없이도 IMSI를 난수로 변경하는 기술을 적용할 방침이다.
회사 관계자는 "이미 내부적으로 인지하고 준비해오던 사안이나 유심 교체의 물리적 한계로 4월부터 시행하게 된 것"이라며 "IMSI 탈취만으로는 악용이 어렵고 별도의 키값이 필요해 현재까지 확인된 악용 사례는 없으나 보안 강화 차원에서 체계 개편을 결정했다"고 설명했다.
김미현 기자 m222h@sidae.com