SBS Biz

[ LG유플 보안 협력사 KISA 해킹 신고 대응 현황 (자료=박충권 국민의힘 의원실 제공)] 

LG유플러스와 KT가 최근 미국의 보안전문지 '프랙'이 공개한 한국 정부와 통신사를 해킹했는 내용과 관련해 '침해 사실이 없다'는 입장을 고수하는 가운데, LG유플러스 서버 접근 제어 솔루션을 담당하는 협력 보안기업이 한국인터넷진흥원(KISA)에 침해 사고를 신고해 기술지원(조사)을 받은 것으로 확인됐습니다.

15일 국회 과학기술정보방송통신위원회 소속 박충권 국민의힘 의원실이 KISA로부터 제출받은 자료에 따르면, LG유플러스 외주 보안기업인 시큐어키는 지난 7월 31일 KISA에 시스템 해킹을 신고했으며 KISA는 다음날인 8월 1일 기술지원을 실시했습니다.

시큐어키는 LG유플러스 서버 관리 회사로 지난 7월 해킹 공격을 받은 것으로 전해졌습니다.

미국 해킹 전문지 '프랙'이 지난달 8일 공개한 자료를 살펴보면, 해커가 시큐어키를 해킹해 확보한 계정정보로 LG유플러스 내부 네트워크로 침투해, 8천938대의 서버 정보와 4만2천526개의 계정 및 167명의 직원 정보가 유출됐습니다.

LG유플러스 측은 이러한 의혹에 대해 "현재까지 자사 서버에 침투한 흔적이 발견되지 않았기 때문에 침해 신고를 하지 않았다"며 "패스워드가 일방향 암호화로 복호화가 불가능하기 때문"이라고 설명했습니다.   

이어 "현재 진행 중인 정부 조사에 최대한 협조해 모든 내용을 투명하게 밝힐 수 있도록 할 예정"이라고 덧붙였습니다.

그러나 박충권 의원실 측은 외부 침입 흔적이 없다는 입장을 밝힌 LG유플러스 측과 달리 협력사인 시큐어키는 자진 신고를 통해 해킹 침해 사고에 적극 대응했다고 평가했습니다. 

KISA는 지난 7월 19일 화이트해커로부터 해킹 침해 정황을 제보받고 LG유플러스, KT와 함께 시큐어키에도 신고해 조사를 받을 것을 요청했는데, 이 중 시큐어키만이 KISA 요청에 응했다고 전했습니다. 

특히, KISA가 지난달 22일 LG유플러스와 KT에 유출된 데이터가 실제 데이터와 동일하다는 증거를 제시하며 재차 신고를 요청했지만 이 역시 외면했다는 게 박 의원실 측 설명입니다.

박충권 국민의힘 의원은 "기업이 자진신고를 해야만 조사에 나설 수 있는 현 정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정이 필요하다는 목소리가 나오는 것은 바로 이러한 이유 때문"이라며 "이는 개인정보보호법에 따라 이른바 '인지 조사'를 할 수 있는 개인정보보호위원회와도 조사 권한의 차이가 크다"라고 지적했습니다. 

실제 개인정보위는 지난 10일 LG유플러스와 KT를 대상으로 개인정보 유출 조사에 착수했습니다. 개인정보보호법은 법위반 혐의를 알게 되거나 사건·사고가 발생할 가능성이 상당히 있는 경우에도 조사에 착수할 수 있도록 열어두고 있습니다.

개인정보위는 기업의 개인정보 유출 신고는 없었으나 시민단체 민원과 소액결제 피해자의 침해신고가 있었다고 조사 배경을 밝힌 바 있습니다.

박충권 의원은 "이번 사태는 기업이 자진 신고를 회피할 경우 정부와 전문기관이 신속히 대응할 수 없는 제도적 허점을 드러낸 것"이라며 "국민의 재산 피해와 직결된 만큼 철저한 진상 규명으로 책임을 묻고, 재발 방지를 위해 법과 제도를 반드시 정비해야 한다"라고 강조했습니다.