과기부 보고 전 OS 새로 깔아 ‘증거인멸’ 의심 눈초리…“내부망 침입 흔적 없지만 조사 성실히 임할 것”
LG유플러스는 지난 10월 23일 KISA에 서버 해킹 피해 정황과 관련 신고서를 제출했다. 앞서 같은 달 21일 국회 과학기술정보방송통신위원회 정보통신기술(ICT) 분야 산하기관 국정감사에서 KISA에 신고하겠느냐는 이해민 조국혁신당 의원의 질문에 홍범식 LG유플러스 대표는 “그렇게 하겠다”고 말했다.
앞서 7월 화이트해커로부터 LG유플러스에서 내부자 계정을 관리하는 APPM 서버 해킹이 있었다는 제보를 받은 KISA가 관련 내용을 LG유플러스에 전달했다. 8월에는 미국 보안 전문 매체 ‘프랙’이 북한 정찰총국 산하 해커조직인 ‘김수키(kimsuky)’가 LG유플러스 외주 보안업체 ‘시큐어키’를 해킹해 얻은 계정 정보로 LG유플러스 내부망에 침투해 8938대의 서버 정보와 4만 2256개의 계정, 167명의 직원 정보를 빼돌렸다고 보도했다. 이 보도 내용은 KISA가 제보 받은 내용과 동일한 것으로 알려져 있다.
과기부는 지난 7월 18일 해당 제보와 관련해 LG유플러스에 자체 점검 요청을 했다. 이어 8월 11일 점검 결과를 요청하자, LG유플러스는 8월 13일 사이버 침해 정황이 없다고 보고했다.
반면 시큐어키는 7월 31일 KISA에 침해사고를 신고했다. 더욱이 LG유플러스가 과기부 보고 전날인 8월 12일 문제의 서버 OS(운영체제)를 새로 설치한 사실이 알려지면서 증거인멸 가능성이 제기됐다. 통상 OS를 다시 깔면 기존 데이터가 덮여 포렌식 등 정밀 분석이 불가능해질 수 있다. 이에 LG유플러스는 국정감사에서 서버 업데이트 진행 이전과 이후 각 서버 이미징을 떠서 KISA에 제출했다고 해명했다.
국감에서도 LG유플러스는 의혹을 시원스럽게 떨쳐내지 못했다는 평가다. 국회 과방위 소속 한 의원실 관계자는 “미국 국무부가 선정하는 ‘클린 네트워크(Clean Network)’에 LG유플러스가 제외된 것을 알고 있었는지, 이미징 하는 주체가 누군지 등 몇 가지 질문에 홍범식 대표가 제대로 답하지 못하는 모습을 보였다”며 “의원들 입장에서는 의구심이 남을 수밖에 없는 상황인데, SK텔레콤과 KT가 ‘보안 위험 없다’고 장담했다가 결국 발각된 전례들이 있기 때문에 LG유플러스마저도 믿기가 어려운 상황”이라고 말했다.
전략통으로 평가받는 홍범식 대표의 해킹 의혹 대응을 두고도 뒷말이 나온다. LG유플러스는 2024년 11월 통신 시장에서 AI(인공지능) 신사업 확장을 위해 새 인사를 단행했다. 전임 황현식 대표가 통신 전문가였던 것과 달리 홍 대표는 주요 이력이 기업 전략수립·컨설팅 위주였다.
정보보호 관련 투자는 LG유플러스가 통신 3사 중 가장 적다. KISA 정보보호 공시종합포털에 따르면 2024년 말 기준 정보보호부문 투자액은 LG유플러스가 828억 원으로 나타났다. 같은 기간 KT는 1250억 원을 투자했고 SK텔레콤(자회사 SK브로드밴드 포함) 933억 원과 비교하면 최소 100억 원 이상 차이 난다.
이에 대해 LG유플러스 관계자는 “정보보호부문 투자액은 전년 대비 31.1% 증가한 수치로 통신 3사 중 가장 높은 증가율이다. 향후 정보보호에 5년간 약 7000억 원을 투자하는 등 지속적으로 보안 투자에 나설 계획”이라며 “정보보호 전담인력의 경우 전년 대비 86.0% 증가했다”고 말했다.
한편, 과기부·KISA 조사에 이어 경찰청 국가수사본부도 최근 LG유플러스 서버 해킹 정황과 관련해 내사에 착수했다.
경찰 수사에 관련해 황석진 동국대학교 국제정보보호대학원 교수는 “외부 침입 흔적 여부가 조사에 있어 가장 중점이 될 것”이라며 “침입하고 난 다음에 얼마나 많은 트래픽이 발생했고, 그 트래픽 안에 어떤 데이터를 갖고 있었는지 등을 확인할 것”이라고 말했다.
김명주 서울여자대학교 정보보호학과 교수는 “LG유플러스가 제출한 서버 이미징을 토대로 로그(시스템 내부 기록) 부분을 확인해보면 침입 흔적이 나올 수도 있다”며 “기술력 좋은 해커가 로그 기록을 삭제하고 나가더라도 간혹 과시 목적으로 다크웹(특수한 브라우저로만 접속할 수 있는 숨겨진 웹 공간) 같은 곳에 해킹한 파일 일부를 올리는 경우가 있는데, 매칭을 해보면 어떤 부문이 어느 서버에서 나간 건지를 간접적으로나마 확인하는 방법도 있다”고 말했다.
이와 관련, 앞서의 LG유플러스 관계자는 “현재까지 내부망 침해 흔적은 확인되지 않았다”며 “해당 상황을 투명하게 밝힐 수 있도록 과기부 및 KISA 조사에 성실히 임하겠다”고 말했다.
노영현 기자 nogoon@ilyo.co.kr