'29만건 개인정보 유출' 또 고개 숙인 LGU+…"보안 강한 회사로 거듭나겠다"(종합)

[아이뉴스24 안세준,박진영 기자] 고객 개인정보 유출 사고를 일으킨 LG유플러스에 개인정보보호위원회가 역대 최다 과징금인 68억원을 부과했다. LG유플러스는 보안 관련 부문에 올 상반기 640억원을 집행하는 등 보안 강화 기업으로 거듭나겠다고 밝혔다.

12일 LG유플러스(대표 황현식)는 개인정보보호위원회(위원장 고학수)의 과징금·과태료와 시정명령 처분에 대해 "이번 일로 불편을 겪었을 고객께 다시 한번 고개 숙여 사과의 말씀을 드린다"며 자세를 낮췄다.

그러면서 "당사는 지난 2월 1천억원 규모의 정보보호투자 계획을 포함한 전사적 차원 재발방지 대책을 추진하고 있다"며 "앞으로 고객께 신뢰를 드릴 수 있는 보안에 강한 회사로 거듭나겠다"고 다짐했다.

◆LGU+ 보안 환경 조사해보니…"불법 침입에 매우 취약한 상황"

이날 개보위는 전체회의를 열고 LG유플러스에 대해 과징금 68억원과 과태로 2천700만원을 부과키로 결정했다. 전체 시스템 점검과 취약부분 개선 등 재발 방지를 위한 시정조치도 명령했다. 남석 개보위 조사조정국장은 "과징금은 기억하는 것으로는 최대 규모"라고 설명했다.

앞서 개보위는 지난 1월 해커에 의해 불법거래 사이트에 개인정보 약 60만 건이 공개된 LG유플러스에 대해 민·관 합동조사단·경찰 등과 협조해 조사를 진행해왔다.

개보위에 따르면 유출이 확인된 개인정보는 총 29만7천117건이다. 유출 항목은 전화번호·성명·주소·생년월일·이메일주소·아이디·유심고유번호 등 26개 항목이다. 고객 정보 유출 시점은 2018년 6월 경인 것으로 파악됐다.

당국은 LG유플러스의 고객인증시스템(CAS)의 서비스 운영 인프라 보안 환경이 조사가 시작된 지난 1월까지 매우 취약한 상태였던 것으로 보고 있다. CAS의 운영체제나 데이터베이스(DB) 관리시스템, 웹서버 등 상용 소프트웨어 대부분이 2018년 6월 기준으로 단종되거나 기술지원이 종료된 상태였던 것이다.

개보위 측은 "다수 국민의 개인정보를 처리하는 유·무선 통신사업자로서 엄격한 개인정보 관리가 요구됨에도 고객인증 시스템의 전반적인 관리 부실과 함께 타사 대비 현저히 저조한 정보보호·보안 관련 투자와 노력이 개인정보 유출사고로 이어졌다고 판단했다"고 말했다.

◆LGU+, 상반기 사이버 보안에 640억…올해 총 1천50억원 투입 계획

LG유플러스는 사이버 보안 강화를 위해 상반기까지 약 640억원을 집행했다고 밝혔다. 지난 2월 정보보호 투자 규모를 기존 대비 3배 이상인 1천억원 수준으로 늘리겠다고 밝힌 지 4달 만이다.

LG유플러스는 지난 2월 기자간담회를 통해 사이버 보안 혁신 활동을 발표하고, 핵심내용 중 하나로 정보보호 투자액 확대를 예고했다. 실제로 LG유플러스는 지난 6월까지 연간 투자액 1천50억원 절반 이상인 640억원을 집행했다. 총 110가지 추진 과제 중 주요 투자 부문은 ▲취약성 점검 ▲통합 모니터링 관제 ▲인프라 투자 등이다.

LG유플러스에 따르면 가장 많은 비용이 집행된 부문은 약 200억원이 투입된 취약성 점검이다. 사이버 보안의 기반이라고 할 수 있는 방어 체계를 공고히 해, 이슈 발생을 기술적으로 막겠다는 취지다. LG유플러스는 이를 위해 외부 전문가들을 통한 모의해킹 등을 준비하고 있다.

통합 모니터링 관제에도 약 196억원을 투자한다. LG유플러스는 세부과제 중 하나로 마곡사옥 1층에 통합 관제센터를 구축하고 있다. 그간 분산돼 각각의 기능을 수행하던 관제센터를 한 곳으로 합쳐 사이버 보안의 신속 대응 체계를 갖춘다는 계획이다.

보안 인프라 투자에는 약 172억원을 집행한다. 하반기 중 전체 방화벽에 대한 정책관리 솔루션을 통해 관제 정책 등을 제로베이스에서 점검하고 강화할 계획이다. 2024년에는 웹방화벽도 이중, 삼중으로 추가 투입해 B2B·B2C 인프라 보안 체계를 더욱 고도화해 나갈 예정이다.

LG유플러스 측은 "이 밖에도 정보보호 전담 인력 강화와 보안 조직 확대·개편, 최고정보보호책임자(CISO) 영입, 정보보호자문위원회 신설을 통한 보안 검증 체계 강화, 인재 육성을 위한 숭실대학교 연계 정보보호학과 운영 등을 추진 중"이라고 밝혔다.