‘정보 유출경로’ 판다는 해커…LGU+ “접촉했지만 자료 무의미”

텔레그램 판매 시도 샘플 데이터서 공공기관·외국인 정보 포함 확인

LGU+ “유출 최대 59만건”…해커 측 “3000만건 이상” 엇갈린 주장

해킹 이유 등 기자 질문엔 “보안수준 낮아…다른 한국 통신사도 해킹”

LG유플러스 고객들의 개인정보를 탈취한 해킹 세력이 공개한 데이터 샘플에 국내 공공기관·민간기업과 외국인 정보도 포함된 것으로 확인됐다.

14일 경향신문 취재 결과 LG유플러스 해커가 공개한 엑셀파일 형태의 개인정보 샘플 데이터에 ‘한전○○○본부’ ‘□□계기산업주식회사’ ‘ZH△△△ QINGS◇◇◇’ 등 공공기관·민간기업·외국인으로 추정되는 정보가 포함됐다. 이들의 정보 역시 다른 개인정보 유출 피해자들과 마찬가지로 법인명이나 이름, 주소, 전화번호, e메일, 가입자 고유식별번호(IMSI) 등이 담겼다.

해커는 지난 12일 자신이 개설한 텔레그램 대화방에 LG유플러스 개인정보를 팔겠다고 공지하고 그 가격을 11만달러(약 1억4000만원)로 제시했다. 앞서 지난달 22일에는 6비트코인(약 1억7000만원)에 팔겠다고 했다가 비트코인 시세 변화 등을 감안해 판매 가격을 조정했다.

LG유플러스는 개인정보 유출 사건을 한국인터넷진흥원(KISA) 등에 신고한 다음날인 1월4일 보안업체를 통해 해커 측과 접촉해 소액을 지급하고, 유출 경위 파악을 위해 ‘액세스 정보’를 요구했으나 무의미한 자료만 획득했다고 설명했다.

액세스 정보는 개인정보 유출 경로와 피해 규모를 파악하는 데 핵심적인 사항이다. 이 정보를 알아야만 향후 보안대책을 수립하고 또 다른 피해를 방지할 수 있다. 일찌감치 해커는 6비트코인에 LG유플러스 자료 전체를 넘기겠다면서 이 비용의 10%만 지급하면 액세스 정보를 공개하겠다고 했다.

LG유플러스 관계자는 “일반적으로 기업이 고객 정보 유출을 확인하면 관계기관에 신고하고, 그 정보가 어떻게 외부로 나갔는지를 확인하기 위해 액세스 정보를 입수한다”며 “보안업체를 통해 해커가 올린 게시글을 삭제하고 액세스 정보를 받기 위해 판매자와 접촉했으나 무의미한 정보만 받았다”고 말했다.

정부의 진상조사가 진행 중인 가운데 개인정보 유출 규모를 두고 사측과 해커의 주장이 엇갈린다. LG유플러스는 “현재 파악한 개인정보 유출 피해자는 29만명이며, 중복 유출 등으로 피해 건수는 59만건으로 파악되고 있다”고 밝혔다.

그러나 해커는 이 사건 초기부터 확보한 데이터가 3000만건 이상이라고 주장하고 있다. 해커는 자신들이 팀 형태로 운영되고 있다면서 “다량의 데이터를 LG유플러스 인트라넷(사내망) 네트워크에서 획득했다”고 했다. 해커는 영어를 사용하지만 공개된 자료의 파일 폴더 등이 중국어로 돼 있어 중국발 해킹 가능성도 제기된다. 해커 측은 이날 기자가 ‘이번에 해킹을 하게 된 이유가 무엇이냐. 그들의 보안 시스템이 허술했냐’고 묻자 “우리는 프로페셔널이다. 그들의 보안 시스템은 낮은 수준이었다”고 답변했다. 이어 ‘중국에서 활동하고 있느냐’고 묻자 “우리 팀원이 중국에 있다”고 밝혔다. 또 해커 측은 국내 다른 기업도 LG유플러스처럼 비슷한 일을 당했다고 암시했다. 해커 측은 “다른 통신사도 해킹했고 조만간 채널을 통해 샘플 데이터를 공개하겠다”고 밝혔다.

이번 사건과 관련해 과학기술정보통신부는 LG유플러스에 공식 경고하고 KISA와 특별조사에 나섰다. 이를 토대로 3∼4월 중 조사 결과를 발표하고 LG유플러스에 시정 조치를 요구할 계획이다.