"LG유플러스, 가입자 식별정보 무방비 노출"…시민단체, 위약금 면제 요구

[이데일리 이소현 기자] LG유플러스(032640)가 가입자 식별번호(IMSI)를 전화번호 기반으로 부여해 온 구조로 인해 이용자 정보가 사실상 노출됐다는 지적이 제기된 가운데 시민단체가 유심(USIM) 교체뿐 아니라 위약금 면제도 시행해야 한다고 촉구했다.

LG유플러스가 통신 주민등록번호 가입자식별번호(IMSI) 설계 허점이 발견돼 1100만 가입자 대상으로 유심 교체를 시작한 17일 서울 한 LG유플러스 대리점에서 시민들이 이동하고 있다.(사진=이영훈 기자)

소비자주권시민회의는 17일 성명을 내고 “LG유플러스가 약 1100만 가입자의 IMSI를 전화번호와 결합된 형태로 운영해 사실상 핵심 식별정보가 외부에 노출된 것과 다름없다”며 “즉각적인 보호 조치와 보상 방안을 마련해야 한다”고 밝혔다.

IMSI는 통신망에서 가입자를 식별하는 고유 번호로, 유출될 경우 단말기 복제나 위치 추적, 보이스피싱·스미싱 등 2차 피해로 이어질 수 있는 민감 정보다.

소비자주권시민회의는 “전화번호만으로 IMSI를 유추할 수 있는 구조에서는 가짜 기지국(IMSI 캐처)을 통한 위치 추적이나 특정 집단을 겨냥한 표적형 범죄가 가능하다”며 “유심 및 단말기 복제, 인증 탈취 등 심각한 피해로 이어질 수 있다”고 주장했다.

또 LG유플러스가 과거 개인정보 유출 사고에 이어 추가 침해 사고가 발생했고, 조사 방해 의혹까지 제기된 상황에서 정확한 유출 범위가 확인되지 않고 있다는 점도 문제로 지적했다.

소비자주권시민회의는 통신사 간 운영 방식 차이도 언급했다. SK텔레콤과 KT는 난수 기반으로 가입자 식별번호를 부여해 특정 개인 식별이 어렵도록 설계한 반면, LG유플러스는 전화번호 기반 구조를 유지해 왔다는 것이다.

이에 소비자주권시민회의는 △전 가입자 대상 2차 피해 위험 안내 문자 발송 △희망자 제한 없는 전면 유심 교체 △유심 교체 시행 전 해지 고객 대상 위약금 면제 등을 요구했다.

아울러 “유심 교체에 앞서 IMSI 구조를 난수 기반으로 재설계하는 등 근본적인 개선이 필요하다”며 “공지 수준을 넘어 전화 등 적극적 방식으로 소비자에게 안내해야 한다”고 강조했다.

소비자주권시민회의는 “보안 사고 자체보다 중요한 것은 대응과 책임”이라며 “즉각적이고 실질적인 조치가 이뤄지지 않을 경우 소비자 신뢰 훼손이 불가피하다”고 밝혔다.

한편, LG유플러스는 이날 유심 교체와 소프트웨어 업그레이드 등 시정 대책을 추진한다고 밝혔다.

유심 교체 물량을 확보해 다음 달 13일부터 희망 고객을 대상으로 무상 유심 재설정 또는 교체를 시작한다. ‘매장 방문 예약 시스템’을 운영하고 시스템 운영 시점은 추후 안내한다. 대상은 LG유플러스 이동전화 서비스를 이용하는 전 고객이며, 스마트워치 등 세컨드디바이스와 키즈폰, LG유플러스망을 이용하는 알뜰폰 고객도 포함된다.

또 오는 11월 소프트웨어 업데이트를 통해 물리적인 교체 없이도 IMSI를 난수로 변경할 수 있는 기술을 개발해 적용할 방침이다.

LG유플러스는 “교체 희망 고객의 대기 불편을 최소화하고 원활한 유심 공급과 교체를 순차적으로 시행할 계획”이라고 밝혔다.