“정보보호 5년간 7000억원 투자”… LG유플도 ‘보안’에 사활

범죄 봉쇄 ‘보안퍼스트’ 전략 공개

거버넌스·예방·대응 3단계 체계
관련 투자 매년 30% 이상 확대

보이스피싱 등 예방 ‘통합 꾸러미’
이통사 첫 악성 앱 서버 직접 추적
2025년 상반기 스미싱 2.5억 건 차단해
정부에 보안 협의체 구성도 제안

KT, 음성 분석 보이스피싱 차단

‘좀비폰’의 잔여 배터리는 86%, 휴대폰의 카메라·마이크·통화와 문자 이력 원격제어 가능.

29일 서울 용산구 LG유플러스 사옥에서 열린 기자간담회에서 이런 내용의 ‘악성 앱 서버’ 화면이 대형 스크린에 펼쳐졌다. 고객 스마트폰에 악성 애플리케이션(앱)을 뿌린 범죄 조직이 운영해온 서버 화면이었다. 메뉴들을 보니 악성 앱에 감염된 ‘좀비폰’은 범죄자의 손아귀에 들어간 셈이나 마찬가지였다. 실시간 도·감청이 가능한 건 물론 고객이 112로 전화해도 범죄조직에게 연결되도록 족쇄가 채워져 있었다.

홍관희 LG유플러스 정보보안센터장(전무)이 악성 앱에 감염된 휴대폰을 객석으로 돌리자 카메라에 비친 간담회장 풍경이 실시간 원격 전송됐다. ‘좀비폰’이 꺼져 있어도 나도 모르는 사이 사생활이 범죄조직으로 새나갈 수 있는 셈이다.

LG유플러스가 이처럼 통신망을 활용한 범죄를 원천봉쇄하기 위해 향후 5년간 정보보호에 7000억원을 투자하는 내용을 포함한 ‘보안퍼스트’ 전략을 공개했다. KT도 실시간 ‘인공지능(AI) 보이스피싱 탐지서비스 2.0’을 상용화한다고 이날 발표했다. SK텔레콤 해킹 사태 이후 정보보안의 중요성이 커진 가운데 이동통신사들이 앞다퉈 보안 강화에 나서고 있는 모양새다. 

LG유플러스의 ‘보안퍼스트’ 전략은 거버넌스·예방·대응 세 분야로 나뉜다. 거버넌스와 관련해선 독립적 전담 조직인 정보보안센터가 정보보호를 총괄한다. 보안 투자·인력은 계속 확대한다. LG유플러스는 지난해 정보보호분야에 약 828억원을 투자했다. 이는 전년보다 31.1% 늘어난 규모다. 올해도 관련 투자를 30% 이상 확대하는 등 향후 5년 동안 약 7000억원을 정보보호에 투입한다. 보안 인력은 지난해 292.2명으로 전년보다 86% 증가했다. 

보안 예방을 위해서는 ‘블랙박스 모의해킹’을 진행 중이다. 블랙박스 모의해킹은 외부 화이트해커 집단이 LG유플러스의 모든 서비스를 해킹해 잠재된 취약점을 발굴하는 방식이다. 지난해 11월부터 진행 중으로, 이를 내년 상반기까지 연장할 계획이다.

세번째 축인 보안 대응을 위해서는 AI 기반 관제 체계를 지속해서 강화하고 있다. 2027년까지 LG유플러스에 특화된 제로 트러스트 모델도 구축한다. 제로 트러스트는 ‘누구도 믿지 마라’는 기조 아래 항상 검증을 수행하는 보안 기술이다. 

LG유플러스는 이날 보이스피싱·스미싱 피해 예방을 위한 통합꾸러미도 선보였다. 이 회사는 국내 통신사 중 유일하게 범죄 조직이 운영하는 악성 앱 서버를 직접 추적하고 있다. 올해 2분기 경찰에 접수된 전체 보이스피싱 사건 중 약 23%는 이 회사가 악성 앱 서버를 추적해 경찰에 전달한 것이다. LG유플러스는 청첩장 등을 미끼로 한 스미싱 문자도 고객이 받기 전에 차단하고 있다. 상반기에 차단한 스미싱 문자만 2억5000만건으로, 피해 금액으로 환산하면 2000억원에 달한다.

LG유플러스는 이날 피싱 범죄 근절을 위해 민관 협동 정보보안 협의체를 구성할 것을 제안했다. 홍 센터장은 “통신사가 적극적으로 피싱을 차단하려면 법 개정 등 행정적 조치가 필요하다”고 밝혔다. 정보보호 공시제도도 보완이 필요하다고 제언했다. 현재는 투자 총액만 공시되는 방식인데 어떤 보안 분야에 투자했는지, 어디까지 보안 투자로 봐야 할지 명확한 기준을 마련해야 한다고 지적했다.

홍 센터장은 “고객은 이동통신사가 보안에 얼마를 투자했느냐보다 실제 스팸 문자를 덜 받고 보이스피싱 전화가 걸려오지 않는 게 중요하기에 이를 향해 달려가는 회사가 되겠다”고 말했다.

KT도 전화 통화 중 실시간으로 문맥과 음성을 분석해 보이스피싱을 차단하는 기술을 상용화했다고 이날 밝혔다. KT가 국내 최초로 내놓은 ‘AI 보이스피싱 탐지서비스 2.0’은 문맥 기반 탐지 기술에 더해 범죄자의 실제 음성과  AI로 흉내 낸 가족·지인의 음성까지 식별하는 것이 핵심이다.

이 서비스의 출시에는 개인정보보호위원회, 과학기술정보통신부, 국립과학수사연구원이 함께한 민관 협력이 큰 힘이 됐다. 과기부는 이 서비스를 ICT(정보통신기술)규제샌드박스 실증특례로 지정했다. 기존 규제에 따르면 보이스피싱 음성은 민감정보에 해당한다. 범죄예방에 활용하려면 피싱범의 ‘동의’가 필요한 모순이 있어 정부에서 규제 특례를 적용했다. 화자인식 기술 개발 과정에는 국과수가 제공한 보이스피싱 범죄자의 실제 음성인 ‘그놈목소리’ 데이터에 기반한 성문정보가 쓰였다.

송은아 기자 [e-mail]