[서울=뉴스핌] 서영욱 기자 = LG유플러스의 가입자 식별번호(IMSI) 보안 문제가 제기됐다. 조경태 국민의힘 의원은 정부가 취약한 구조를 장기간 방치한 책임을 따지고, 지난해 침해사고 은폐 의혹의 고의성이 경찰 수사에서 확인될 경우 전체 가입자의 위약금을 면제해야 한다고 주장했다.

6일 국회 과학기술정보방송통신위원회 소속 조경태 국민의힘 의원에 따르면 LG유플러스는 IMSI의 사업자코드 뒤에 가입자의 전화번호를 그대로 붙이는 방식으로 운영해 왔다.

IMSI는 통신사가 가입자를 식별하기 위해 유심(USIM)에 저장하는 15자리 고유번호다. SK텔레콤은 전화번호 일부와 무작위로 생성되는 난수를 조합하고 KT는 유심 제조사가 부여한 일련번호를 사용하는 반면 LG유플러스는 전화번호를 직접 활용했다는 게 조 의원실 설명이다.

이에 따라 LG유플러스 가입자는 전화번호를 알면 IMSI를 유추하거나 반대로 IMSI를 통해 전화번호를 파악할 수 있는 구조였다는 지적이다. 특히 가짜 기지국을 이용해 주변 단말기의 IMSI를 수집하는 'IMSI 캐처'와 결합될 경우 특정 장소에 있는 가입자의 전화번호가 노출될 가능성이 제기된다.

조 의원은 이날 국정감사에서 배경훈 부총리 겸 과학기술정보통신부 장관을 상대로 정부가 이 같은 운영 방식을 언제 인지했는지와 보안성을 직접 실증했는지 등을 질의할 예정이다.

지난해 발생한 LG유플러스 침해사고 은폐 의혹과 관련한 위약금 면제 여부도 쟁점으로 제기했다.

LG유플러스는 지난해 7월 한국인터넷진흥원(KISA)으로부터 해킹 관련 제보를 안내받은 뒤 침해 서버 1대를 폐기하고 다른 서버의 운영체제(OS)를 재설치했다. 이후 민관합동조사에서 유출 데이터가 실제 유효한 것으로 확인됐지만 서버 폐기와 OS 재설치로 정확한 유출 경로와 범위를 특정하지 못했다.

과기정통부는 지난해 12월 LG유플러스가 침해사고를 의도적으로 은폐했다고 판단해 위계에 의한 공무집행방해 혐의로 경찰에 수사를 의뢰했다. 개인정보보호위원회도 지난 7월 같은 혐의로 수사를 의뢰했다.

조 의원은 경찰 수사에서 고의적인 은폐가 확인될 경우 LG유플러스 이용약관상 '회사의 귀책 사유'에 해당해 위약금 면제를 적용해야 한다고 주장했다.

조 의원은 "정부가 직접 IMSI 보안성을 실증 점검하고 이용자 보호 대책을 마련해야 한다"며 "경찰 수사로 은폐의 고의성이 드러나면 전체 가입자 위약금 면제 등 상응하는 조치를 내려야 한다"고 말했다.

syu@newspim.com