올해 초 LG유플러스에서 발생한 고객정보유출 사고와 디도스(DDoS·분산 서비스 거부) 공격 피해는 취약한 정보보안 체계 때문으로 분석됐다. 고객인증 시스템 비밀번호는 초기 상태였고, 라우터(네트워크 연결 장치)도 외부 접근이 가능했다.
과학기술정보통신부와 한국인터넷진흥원(KISA)은 LG유플러스의 최근 사이버 침해사고 원인 분석 결과와 조치 방안을 27일 발표했다.
유출된 고객정보 규모는 중복을 제외하고 총 29만7117명이다. 2018년 6월쯤 생성된 것으로, 휴대전화번호와 성명, 주소, 생년월일, 암호화된 주민등록번호 등이 담겨 있다. 유출데이터는 부가서비스에 대한 인증 기능을 수행하는 고객인증 DB 자료와 내용이 가장 유사했다.
유출경로도 고객인증 DB가 가장 유력하다고 추정된다. 조사결과 2018년 당시 고객인증 DB 시스템은 웹 관리자 계정 암호가 시스템 초기암호로 설정돼 있었기에 공격자가 해당 관리자 계정으로 악성코드를 설치할 수 있었다. 또 관리자의 DB 접근제어 등 인증체계가 미흡했고, 대용량 데이터 유출 등 비정상 행위를 실시간 감시하는 시스템도 없었다.
디도스 공격은 1월29일과 2월4일 5회에 걸쳐 총 120분간 발생했다. 이로 인해 유선인터넷과 VOD(주문형 비디오), 070 전화 서비스에 장애가 빚어졌다. 공격자는 라우터 장비를 공격한 것으로, 다량의 비정상적인 패킷(데이터 전송단위)을 유입시켜 라우터 과부하를 유발한 것이 특징이다.
다른 통신사는 라우터 정보 노출을 최소화하고 있으나 LG유플러스는 디도스 공격 전 68개 이상의 라우터가 외부에 노출됐던 것이 디도스 공격을 가능하게 한 원인으로 분석됐다. 또 신뢰할 수 없는 장비와도 통신이 가능한 상태로 운영되었고, 광대역데이터망에 라우터 보호를 위한 보안장비도 설치되지 않아 패킷의 비정상 여부 검증과 이에 따른 트래픽 제어가 불가능했다.
재발방지를 위해 정부는 LG유플러스에 인공지능(AI) 기반 모니터링 체계 확대 적용하고, 로그정책과 중앙로그관리시스템을 개선하도록 요구했다. 또 분기별로 1회 이상 보안 취약점 점검 및 정보보호 전문 인력 및 예산 확충 등도 강조했다.
LG유플러스는 입장문에서 “최고경영자(CEO) 직속 사이버안전혁신추진단을 구성해 △사이버 공격에 대한 자산 보호 △인프라 고도화 △개인정보 관리 체계 강화 △정보보호 수준 향상을 위한 102개 세부 과제를 수행하고 있으며, 이를 위한 1000억원 규모의 대규모 투자도 진행 중”이라며 “뼈를 깎는 성찰로 보안 품질이 가장 강한 회사로 거듭나겠다”고 밝혔다.