통신3사 CISO 나란히 증인석…LGU+에 질의 쏠려
서버 폐기·OS 재설치·IMSI 체계까지 연이어 도마
정부, 수사 결과 따라 위약금 면제 추진 가능성 시사

지난해 잇따른 사이버 침해사고와 개인정보 유출로 도마에 오른 이동통신 3사의 정보보안 책임자들이 나란히 국정감사 증인석에 섰다. 특히 해킹 사고 은폐 의혹을 받고 있는 LG유플러스에 관심이 집중됐다. 정부는 향후 수사를 통해 고의적인 증거인멸이나 조사 방해가 확인될 경우, LG유플러스 가입자의 해지 위약금 면제까지 추진하겠다는 입장을 밝혔다.

국회 과학기술정보방송통신위원회는 6일 서울 여의도 국회에서 과학기술정보통신부 등을 대상으로 국정감사를 열고 통신 3사 정보보호최고책임자(CISO)에 대한 질의를 진행했다. 이날 국감장에는 이종현 SK텔레콤 CISO, 이상운 KT 정보보안실장, 홍관희 LG유플러스 정보보안센터장이 출석했다.

통신 3사 모두 지난해부터 보안사고와 개인정보 보호 문제로 논란을 겪은 만큼, 당초 이번 국감은 각사가 내놓은 재발방지 대책과 정보보호 투자계획의 이행 상황을 점검하는 자리가 될 것으로 예상됐다.

하지만 실제 국감장에서는 해킹 은폐 논란을 빚고 있는 LG유플러스에 질타가 이어졌다. 핵심은 해킹 정황을 통보받은 이후 이뤄진 서버 폐기와 운영체제(OS) 재설치가 적절했는지 여부다.

의원들이 제시한 자료에 따르면 LG유플러스는 지난해 7월19일 한국인터넷진흥원(KISA)으로부터 침해사고 정황을 통보받은 뒤 같은 달 31일 관련 서버 1대를 폐기했다. 이어 과기정통부가 8월11일 자체 점검을 요청하자 다음 날인 12일 계정접근관리(APPM) 관련 서버의 OS를 재설치했고, 13일에는 침해사고 흔적이 없다는 취지의 결과를 정부에 통보했다.

한준호 더불어민주당 의원은 침해 정황을 전달받은 뒤 서버에 손을 댄 점을 문제 삼았다. 침해 가능성이 있는 서버라면 OS를 재설치하기 전에 원본 상태와 관련 증거부터 보존하는 것이 우선이라는 지적이다.

한 의원은 LG유플러스가 제출했다는 포렌식 자료가 디스크 전체를 복제한 이미지인지, 해당 이미지가 언제 생성됐는지도 따져 물었다. 홍 CISO는 “포렌식할 수 있는 자료로 제출한 것으로 알고 있다”며 KISA 통보 이후 이미지가 생성된 것으로 안다고 답했다. 다만 사고 대응 과정과 관련해서는 “일부 미흡했던 부분이 있었다”고 인정했다.

문제는 LG유플러스의 설명과 정부 민관합동조사단의 판단 사이에 간극이 남아 있다는 점이다. 회사 주장처럼 포렌식이 가능한 자료와 원본이 보존됐다면, 조사단이 OS 재설치와 서버 폐기 등으로 인해 침해 흔적과 공격 경로를 명확하게 특정하기 어려웠다고 판단한 배경을 추가로 규명해야 한다는 것이다. 관련 의혹에 대해서는 현재 경찰 수사가 진행 중이다.

여야 의원들은 고의적인 은폐나 증거인멸이 확인될 경우 이용자에 대한 해지 위약금을 면제해야 한다는 주장도 내놨다.

이훈기 더불어민주당 의원은 해킹 은폐가 사실로 확인될 경우 회사가 이용자 보호 책임을 다하지 않은 것으로 볼 수 있다며, 회사 귀책사유가 인정되면 약관에 따라 위약금을 면제해야 한다고 지적했다. 조경태 국민의힘 의원 역시 정부에 해킹 은폐가 사실로 드러날 경우 가입자 위약금 면제가 필요하지 않느냐고 다그쳤다.

정부도 이 같은 의견에 동의했다. 배경훈 부총리 겸 과기정통부 장관은 “고의로 증거인멸, 여러 가지 조사 방해 이런 것들이 밝혀지면 당연히 위약금 면제를 요청해야 한다”고 밝혔다. 이어 “중대한 서비스 장애나 계약상 핵심 의무 위반 사례가 적발되면 위약금 면제가 시행되도록 정부도 적극적으로 나서겠다”고 말했다.

홍 CISO는 약관상 귀책사유가 인정될 경우 위약금을 면제할 것이냐는 질문에 즉답을 피했다. 다만 “이용자에 대한 보호조치가 필요한 부분에는 최대한 할 수 있도록 하겠다”고 답했다.

LG유플러스의 국제이동가입자식별번호(IMSI) 관리 방식도 도마에 올랐다. IMSI는 통신사가 가입자를 식별하기 위해 유심(USIM)에 저장하는 15자리 고유 번호다. 조 의원은 LG유플러스가 SK텔레콤이나 KT와 달리 가입자 전화번호와 연계된 방식으로 IMSI를 부여해 정보 노출 위험이 상대적으로 크다고 지적했다.

LG유플러스가 개인정보 보호를 위해 유심 무료 교체를 진행하고 있지만 교체율이 약 30% 수준에 그친 점도 거론됐다. 조 의원은 회사가 유심 교체 필요성을 이용자에게 충분히 알리지 않았다고 지적했다. 이에 배 부총리는 이용자가 직접 유심을 교체하지 않더라도 IMSI 문제를 개선할 수 있도록 10월 말부터 원격 업데이트 방식을 시행할 계획이라고 밝혔다.

한편, 이날 함께 증인석에 앉은 SK텔레콤과 KT 보안 책임자에 대한 질의는 상대적으로 두드러지지 않았다. 통신 3사가 사고 이후 수천억원에서 1조원 규모의 중장기 정보보호 투자와 조직 개편, 보안인력 확충 등을 잇달아 약속한 만큼 실제 투자 집행액이나 개선책 이행률, CISO의 실질적인 예산·인사 권한 등을 동일한 기준으로 점검할 필요가 있었다는 지적이 나온다.

[CEO스코어데일리 / 김동일 기자 / same91@ceoscore.co.kr]