황현식 LG유플러스 대표가 16일 용산 사옥에서 열린 기자회견을 통해 고개를 숙였다. 최근 LG유플러스 네트워크에 디도스(DDoS) 공격이 벌어지는 한편 가입자 개인정보가 유출되는 사태가 발생했기 때문이다. 이 자리에서 연 정보보호 투자를 기존 대비 3배로 늘리는 등을 골자로 하는 ‘사이버 안전혁신안’도 발표됐다.

일각에서는 LG유플러스의 이번 메시지가 최근 정부의 통신업계에 대한 강력한 압박과 무관하지 않다는 말도 나왔지만 LG유플러스는 "사실이 아니다"고 강조했다.

사이버 안전혁신안 발표
황현식 LG유플러스 대표는 그간 발생한 고객정보유출과 디도스 공격으로 인한 인터넷 서비스 오류에 대해 사과했다.

황 대표는 "이번 사고는 중대한 사고"라면서 "우리 사업의 모든 출발은 고객이며, 고객에게 인정을 받고 신뢰받을 수 있는 기업이 되겠다"고 말했다.

황 대표는 개인정보유출에 대해 "사태 인지후 빠르게 관계기관에 신고했다"면서 "불안해하는 고객들을 위한 다양한 해결책을 마련할 것"이라고 말했다.

디도스 공격에 대해서는 "사건 발생 직후 TF를 구성했다"면서 "전사에 거쳐 비상대응에 나서는 중"이라고 말했다. 그는 이어 "지금도 디도스 공격이 벌어지고 있으나 방어에 성공, 추가장애는 벌어지지 않고 있다"고 말했다.

황 대표는 "우리가 부족했다"면서 "고객 신뢰 회복을 위해 다양한 개선책을 마련하고 조직을 정비할 것"이라고 말했다.

개선방안으로 사이버 안전혁신안을 발표했다. ▲정보보호 조직·인력·투자 확대 ▲외부 보안전문가와 취약점 사전점검·모의 해킹 ▲선진화된 보안기술 적용 및 미래보안기술 연구·투자 ▲사이버 보안 전문인력 육성 ▲사이버 보안 혁신 활동 보고서 발간 등으로 구성된다. 

먼저 전사정보보호·개인정보보호책임자(CISO·CPO)를 CEO 직속 조직으로 강화한다. 기존에는 두 조직을 하나로 운영했으나 이제는 분리, 전사 차원의 조직으로 격상한다는 설명이다.

각 영역별 보안 전문가를 영입해 역량 자체를 강화할 계획이다. 보안과 품질에 대한 투자를 강화하기 위해 단기간 내 연간 정보보호 투자액을 현재의 3배 수준인 1000억원으로 확대할 예정이다. 황 대표는 "지금까지 경쟁사 대비 보안 인프라에 대한 투입은 적었던 편"이라면서 "더 철저한 보안 인프라 구축을 위해 1000억원 이상을 투입하는 것도 고려하는 중"이라고 말했다.

외부 보안전문가의 의견도 적극 수렴해 보안 안정성을 제고한다. 보안컨설팅기업과 전문기관, 학계에 종사하는 외부 전문가들로 구성된 정보보호위원회를 운영하고, 보안기술과 관리체계를 점검한다. 이와 함께 기존에는 사내에서만 진행하던 해킹 대회 등을 전격 확대한다. 세계 최고 수준의 화이트해킹 대회, 침투방어훈련을 수행하며 보안 취약점을 점검한다는 설명이다.

기술 인프라 고도화에도 속도를 낸다. 인공지능(AI)을 활용한 보안위협 분석·대응체계를 인프라에 적용하고, 공격자가 내부에 있다는 전제로 보안수준 강화방안을 마련하는 ‘제로 트러스트 아키텍처(Zero Trust Architecture)’에 기반한 최신 기술로 전사적인 보안수준을 향상시킬 계획이다.

최근 윤석열 대통령이 스위스 다보스 포럼을 통해 큰 관심을 보인 양자(퀀텀)를 보안 인프라에 적극 활용한다는 방침도 나왔다. 양자내성암호(PQC) 기술개발과 보안 전문성을 갖춘 기업에 지분투자·인수합병을 적극 추진해 미래 보안기술 분야를 선도한다는 구상이다.

사이버 보안 전문인력 양성에도 힘쓴다. 국내 보안관련 대학(원), 연구소와 인력양성 협약을 맺고, 보안 관련 학과/과정을 연계한 전문인력 육성 및 채용을 추진한다. 나아가 이 같은 사이버 보안 혁신활동을 매년 ‘사이버 안전혁신 보고서’를 발간할 계획이다.

"USIM 무상교체, 종합 피해지원안 마련"

LG유플러스는 최근 벌어진 개인정보보호 유출로 불안감이 커진 고객들에게 USIM 무상교체를 계획하고 있으며, ‘U+스팸전화알림’ 서비스 무료 제공을 준비하는 중이라 밝혔다.

학계, 법조계, NGO 등과 함께 피해지원협의체도 구성해 고객별 유형을 고려한 ‘종합 피해지원안’을 마련할 예정이다. 우선 피해지원안의 일환으로 ‘피해신고센터’를 운영해 고객의 피해를 최소화할 수 있도록 지원한다. 또한 사고의 원인 파악과 개선사항 이행 등을 분야별 전담반을 통해 실천해 나갈 계획이다.

황 대표는 "보안 인프라 강화와 관련된 모든 것은 CEO가 직접 챙길 것"이라며 "네트워크와 정보보안은 기본이며, 기본을 더욱 굳건히 할 것"이라고 강조했다.

29만명 개인정보 유출...디도스 공격은 현재 진행형

이상엽 LG유플러스 CTO는 개인정보 유출 사태에 대해 설명했다.

이 CTO는 "최초 29만명의 개인정보가 유출된 것으로 확인됐다"면서 "2018년 과거 데이터로 추정된다"고 말했다. 유출된 정보는 전화번호, 이름, 성명, 암호화 패스워드 및 주민등록번호, USIM 번호 등이다. 그는 또 "3000만명의 고객정보를 가지고 있다지만 이는 사실과 다르다"면서 "당장 확인이 가능한 고객 18만명에게는 고지를 마친 상태"라고 말했다. 그는 마지막으로 "관계기관의 수사에 성실하게 임할 것"이라고 말했다.

개인정보 유출경로에 대해서는 "경로를 파악하는 중"이라며 "수사가 진행중인 상황"이라고 말했다.

이 CTO는 "LG유플러스 가입자의 개인정보를 확보한 후 이를 판매한다는 게시글이 올라오고 있으며, 최대한 대응하는 중"이라며 "텔레그램 게시글에는 대응하는 것이 어렵지만 최대한 노력하고 있다"고 말했다.

권준혁 네트워크 본부장은 디도스 공격에 대해 설명했다. 권 본부장은 "1월 29일 디도스 공격이 있었고 지금도 계속되고 있다"면서 "1월 29일은 접속 오류가 있었고 2월 4일 일부 지역 오류가 벌어졌으며, 2월 5일 이후에도 간헐적인 공격이 있지만 방어에 성공하는 중"이라고 말했다.

권 본부장은 장애 발생에 대해 "통신망 장비를 공격한 사례라 최초 대응이 미흡했다"면서 "앞으로 다양한 방어체계를 구축할 것"이라고 설명했다.

디도스 공격이 왜 LG유플러스에만 이뤄졌는지도 의문이다. 권 본부장은 다만 "아직 밝혀진 것이 없다"고 말했다.

한편 보상안에 대해 정수헌 본부장은 "알뜰폰 가입자들에게도 보상을 할 생각"이라며 "구체적인 보상안이 나올 경우 조만간 내용을 공유할 것"이라고 말했다. 피해접수도 받으며 또 IPTV 및 기타 유선 네트워크 가입자에 대한 별도의 보상도 추진된다는 설명이다.

업계에서는 사태 발생 후 LG유플러스의 사과 메시지가 늦게 나왔다는 지적도 있다, 이에 황현식 대표는 "죄송하다"며 "제 불찰"이라고 말했다.

일각에서 제기되는 화웨이 장비 이슈, 즉 화웨이 장비를 통해 보안사고가 발생했다는 논란에는 선을 그었다. 황 대표는 "이번 사건과 화웨이는 전혀 상관이 없다"고 강조했다.