올해 초 LG유플러스에서 발생한 고객정보유출 사고와 디도스(DDoS·분산 서비스 거부) 공격 피해는 취약한 정보보안 체계 때문으로 분석됐다. 고객인증 시스템 보안과 비정상적인 데이터 이동 탐지 체계가 미흡했고, 라우터(서로 다른 네트워크를 연결해주는 장치)는 외부에 노출돼 있었다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 LG유플러스의 최근 사이버 침해사고 원인 분석 결과와 조치 방안을 27일 발표했다.

LG유플러스. 연합뉴스

◆29만여명 고객정보 유출…디도스 공격은 5회 120분간 발생

LG유플러스에서 유출된 고객정보 규모는 29만7117명으로 파악됐다. 2018년 6월쯤 생성된 정보로, 휴대전화번호와 성명, 주소, 생년월일, 암호화된 주민등록번호, 모델명, 이메일, 암호화된 비밀번호, 유심(USIM) 고유번호 등이 담겨있다.

유출데이터는 부가서비스에 대한 인증 기능을 수행하는 고객인증 DB 자료와 내용이 가장 유사했다. 유출경로도 고객인증 DB가 가장 유력하다고 봤다.

정부는 고객정보 유출로 인해 추가로 발생할 수 있는 2차 피해는 스미싱, 이메일 피싱 가능성이 있으며, 불법로그인과 유심복제 피해 가능성은 작다고 밝혔다. 

LG유플러스의 유선 인터넷망을 대상으로 한 디도스 공격은 1월29일과 2월4일 5회에 걸쳐 총 120분간 발생했다. 1월29일 3회 총 63분 동안 해외 및 국내 타 통신사와의 연동구간의 주요 네트워크 장비 14대가 공격을 받았다. 2월4일에는 2회 57분간 일부 지역 라우터 320대에 대한 디도스 공격이 있었다. 이로 인해 유선인터넷과 VOD(주문형 비디오), 070 전화 서비스에 장애가 빚어졌다. 

공격자는 통신사 라우터 장비를 공격한 것으로, 다량의 비정상적인 패킷(데이터 전송단위)을 유입시켜 라우터 과부하를 유발한 것이 특징이다. 

◆고객인증 DB 시스템 취약…라우터는 외부 노출

정부 조사결과 LG유플러스 고객인증 DB 시스템의 보안 관리가 허술했던 것으로 확인됐다. 2018년 당시 고객인증 DB 시스템은 웹 관리자 계정 암호가 시스템 초기암호로 설정돼 있었고, 시스템에 웹 취약점이 있어 해당 관리자 계정으로 악성코드를 설치할 수 있었던 것으로 분석됐다. 또 관리자의 DB 접근제어 등 인증체계가 미흡해 해커가 악성코드를 이용해 파일을 유출할 가능성이 컸다.

또 고객정보 등이 포함된 대용량 데이터가 외부로 유출될 때 이러한 비정상 행위의 위험성을 실시간으로 감시하고 통제할 수 있는 자동화된 시스템이 없었다. 시스템별 로그 저장 기준과 보관 기간도 불규칙했다.

이에 정부는 LG유플러스에 메일시스템에만 적용된 인공지능(AI) 기반 모니터링 체계를 고객정보처리시스템까지 대상을 확대해 사이버 위협을 실시간 감시할 수 있도록 개선하고, IT(정보기술) 자산 중요도에 따른 로그정책과 중앙로그관리시스템을 수립·구축하도록 했다.

디도스 공격과 관련해서는 라우터가 외부로 많이 노출돼 있고, 네트워크 각 구각에 침입 탐지·차단 보안장비와 전사 IT 자원에 대한 통합 관리시스템도 없었다. 

다른 통신사는 라우터 정보 노출을 최소화하고 있으나 LG유플러스는 디도스 공격 전 68개 이상의 라우터가 외부에 노출돼 공격 대상이 될 수 있었다. 또한 주요 라우터는 라우터 간 경로 정보 갱신에 필수적인 통신 외에 신뢰할 수 없는 장비와도 통신이 가능한 상태로 운영되었고, 비정상 패킷 수신이 가능했다. 광대역데이터망에 라우터 보호를 위한 보안장비도 설치되지 않아 패킷의 비정상 여부 검증과 이에 따른 트래픽 제어가 불가능했다.

정부는 분기별로 1회 이상 모든 IT 자산에 대한 보안 취약점을 점검해 제거하도록 했다. 또한 침해사고 예방·대응·분석 등에 활용할 수 있는 IT 자산 통합관리시스템을 도입하도록 요구했다.

이번 사이버 침해사고로 LG유플러스가 핵심 서비스와 내부정보 등을 보호하기 위한 전문인력이 부족하고 정보보호 조직의 권한과 책임이 미흡했던 점도 드러났다. 지난해 LG유플러스의 정보보호 투자액은 292억원, 정보보호 인력은 91명이다. SK텔레콤과 KT는 각각 860억원·305명, 1021억원·336명이다. 

IT 및 정보보호 관련 조직도 여러 곳에 분산돼 있어 긴급 상황 발생 시 유기적인 대응과 빠른 의사결정이 어려웠다고 봤다.

이에 정부는 주요 보안인력을 타 통신사 수준으로 보강하고, 정보보호책임자를 최고경영자(CEO) 직속으로 강화해 전문화된 보안조직 체계를 구성하라고 조언했다. 정보보호 예산을 강화하고, 장기계획에 따른 투자가 진행될 수 있도록 요구했다. 

이와 함께 정부는 사이버 위험 기반의 공격 시나리오를 개발해 맞춤형 모의훈련을 연 2회 이상 실시하고, 직원 보안교육과 실무를 반영한 보안매뉴얼 개발·관리도 필요하다고 강조했다. 

앞서 LG유플러스는 지난 2월 대책 발표를 통해 모든 고객을 대상으로 유심 무상 교체와 U+스팸전화알림 서비스를 제공했다. 또 정보보호 시스템 강화를 위해 연간 정보보호 투자액을 현재의 3배 수준인 1000억원으로 확대하고, 전사정보보호·개인정보보호책임자(CISO·CPO)를 대표 직속 조직으로 설치하며, 세계 최고 수준의 화이트해킹대회와 침투방어훈련을 수행해 보안취약점도 점검하겠다는 계획을 밝힌 바 있다.

이진경 기자 [e-mail]