LGU+ 정보유출, 관리자 ‘초기 비번’ 안 바꾼 탓

올해 초 LG유플러스에서 발생한 고객정보 유출과 디도스(분산서비스거부공격, DDoS) 공격에 따른 접속 장애가 부실한 보안 시스템 때문이라는 조사 결과가 나왔다.

과학기술정보통신부와 한국인터넷진흥원(KISA)은 27일 “LG유플러스의 고객 정보 유출 사건은 취약한 고객 인증 데이터베이스(DB) 시스템이, 디도스 공격 사건은 미비한 네트워크 장비 보안이 주된 원인으로 드러났다”고 밝혔다.

지난 1월부터 LG유플러스에서 보안 사고가 잇달아 발생하자 과기정통부와 KISA가 특별조사점검단을 꾸려 3개월간 조사한 결과다. 개인정보가 유출된 고객 규모는 29만7117명으로 집계됐다.

과기정통부는 유출 데이터의 마지막 업데이트가 2018년 6월 15일 3시58분인 점에 비춰볼 때 유출 시점도 비슷할 것이라고 추정했다.

정확한 시점을 특정할 수 없는 이유는 시스템 로그(기록)가 남아있지 않기 때문이라고 점검단 측은 설명했다. 시스템 로그 보존 기간이 2년이라 유출이 일어났을 시점의 기록이 현재 사라졌다는 것이다. 따라서 누가 해킹해 어떻게 정보가 유출됐는지도 특정하지 못했다. 홍진배 과기정통부 네트워크정책실장은 “(2018년) 당시 외부 기관이 작성한 LG유플러스의 취약점 분석 보고서를 토대로 16개 시나리오를 분석했고, 근거를 종합해서 유출 가능성이 가장 큰 쪽으로 결론을 내렸다”고 말했다.

과기정통부의 설명을 종합하면, 고객정보 유출은 고객인증 데이터베이스(DB) 시스템에서 시작된 것으로 보인다. 특히 2018년 6월 이후 LG유플러스는 고객인증 DB 접속 시 입력하는 관리자 계정 암호를 시스템 출고 당시 기본 설정값(‘admin’)으로 계속 썼던 것으로 드러났다. 쉽게 말해 ‘0000’이나 ‘1234’ 같은 단순한 암호를 그대로 사용한 것이다. 해커는 여기서 취약점을 발견하고 관리자 페이지에 접속하는 데 성공, 악성코드를 설치할 수 있었다.

디도스 공격은 라우터 같은 네트워크 장비 보안이 취약한 탓이 컸다. 약 68개 이상의 라우터가 외부에 노출, 공격자가 스캔을 통해 이를 인지하고 공격을 감행했다는 설명이다. 다른 통신사들이 신뢰할 수 있는 라우터끼리의 통신만을 허용하는 것과 달리 LG유플러스는 신뢰가 어려운 장비와 통신도 가능하게 설정됐다. 고객정보 등이 포함된 대용량 데이터가 외부로 유출되고 있다는 것을 실시간 감지하고 통제할 자동화 시스템도 없었다.

LG유플러스는 고객들에 대한 세부 피해 보상 방안을 28일 공개할 예정이다. 앞서 이 회사는 지난 2월 보안 수준을 높이는 데 1000억원 규모 대규모 투자를 하겠다고 밝혔다.

권유진 기자 kwen.yujin@joongang.co.kr