'IMSI' 관리 부실 우려에…서울YMCA "LGU+, 위약금 면제해야"

[서울=뉴시스]박은비 기자 = 가입자식별번호(IMSI) 체계 보안 논란으로 유심 전면 교체작업에 돌입한 LG유플러스를 상대로 시민단체가 위약금 면제를 촉구하고 나섰다. 보안 우려로 가입을 해지하고 싶어도 위약금 부담 때문에 이동통신사를 옮기지 못할 수 있다는 지적이다.

서울YMCA시민중계실은 17일 'LG유플러스는 1750만명 위치 추적·스미싱 위험에 대해 위약금 면제 실시하라'는 제목의 성명을 내고 이같이 밝혔다.

서울YMCA는 "전문가들의 시연을 통해 LG유플러스의 IMSI 관리 부실로 인한 보안 위협이 현실화되고 있다"며 "전문가들은 전화번호 기반의 IMSI값이 실시간 위치 추적, 통화 내용 및 문자 메시지 탈취 등에 활용될 수 있다고 경고하고 있다"고 주장했다.

그러면서 "과기정통부는 LG유플러스의 행위가 법률적으로 문제가 있는 것은 아니라는 입장이지만 IMSI 관리 부실은 정보통신망법 제3조 '안전한 서비스를 제공해 이용자의 권익을 보호해야 할 책무'의 해태로 명백한 법 위반에 해당한다고 볼 수 있다"고 말했다.

서울YMCA는 LG유플러스가 위약금 면제를 시행해야 한다는 입장이다. 이 단체는 "IMSI 관리 부실이 약관상 위약금 면제 사유에 해당하는지 여부는 LG유플러스의 IMSI 체계 관리 부실, 안전한 서비스 제공 위반 여부를 중심으로 판단해야 한다"며 "이통사에게 합리적으로 기대할 수 있는 정도의 보호조치를 다하지 않았으므로 IMSI 체계 관리에 현저한 과실이 존재한다"고 비판했다.

이 단체는 이어 "유심 교체가 본격화되더라도 전체 가입자가 유심을 교체하기까지는 상당한 시간이 소요되며, 도서·산간 지역 거주자나 군 장병 등 즉시 유심을 교체하기 어려운 이용자들의 보안 공백 장기화가 불가피하다"며 "LG유플러스는 전 고객에게 그간의 IMSI 관리 부실과 보안 위험을 문자로 즉각 고지하고, 과기정통부는 LG유플러스 전 고객에 대해 충분한 기간 위약금 면제 행정지도를 실시하라"고 강조했다.

앞서 김용대 카이스트 교수는 지난 8일 닷핵 컨퍼런스에서 오픈소스로 공개된 LTE 스니퍼를 활용해 특정 LG유플러스 단말 위치를 확인하는 영상을 공개한 바 있다. 시연 결과 운동장과 건물 5층에 배치된 단말 위치를 파악했고, 전화번호만 알면 그와 연동된 IMSI 신호를 포착해 해당 단말 위치를 알 수 있다고 확인했다.

지난 15일에는 글로벌 개발 협업 커뮤니티 깃허브(GitHub)에 가짜 기지국 역할을 하는 IMSI 캐처로 LG유플러스 IMSI를 수집하고 해당 가입자에게 전화를 거는 시연 영상이 게재됐다.

이 게시물 작성자는 LG유플러스처럼 IMSI값을 전화번호와 동일하게 설정하면 해커가 IMSI 캐처로 인근 모든 단말의 IMSI를 수집할 수 있다고 언급했다.

작성자는 "한국의 주요 통신사 중 하나인 LG유플러스에서 발생한 심각한 보안 문제를 알리고자 한다"며 "LG유플러스는 보안 문제를 이유로 전 가입자에게 유심 교체를 진행하고 있지만 명확한 설명을 제공하지 않고 있다. 그 결과 대부분의 가입자는 자신들이 얼마나 취약한 상태인지 전혀 알지 못하고 있다"고 우려했다.

그는 "LG유플러스는 모호한 기업 용어 뒤에 숨지 말고 고객에게 투명한 설명을 제공해야 한다. 더 나아가 한국 정부는 LG유플러스에 책임을 물어 이런 과실이 다시는 발생하지 않도록 해야 한다고 생각한다"고 언급했다.

이에 대해 LG유플러스는 임시 캐처를 활용해 휴대폰 임시값을 확보하는 건 특정 통신사와 상관 없이 가능하다는 입장이다. LG유플러스 관계자는 "해당 시연 영상은 임시 캐처를 활용해 임시값을 확보하고, 이 값의 일부가 휴대폰 번호와 동일하다는 것을 확인하는 것일 뿐"이라며 "확보한 임시값을 통해 어떤 위험성에 노출될 수 있는지를 보여주는 영상은 아니다"라고 해명했다.

이 관계자는 "임시 캐처를 활용해 휴대폰 임시값을 확보하는 것은 특정 통신사와 상관 없이 가능한 것으로 LG유플러스의 경우 임시값에 휴대폰 번호가 사용됐다는 것일 뿐 다른 정보들이 유출된 게 아니기 때문에 상대적으로 위험성이 낮다"고 덧붙였다.


◎공감언론 뉴시스 [email protected]