올해 초 LG유플러스에서 발생한 약 30만 명 고객 정보 유출은 데이터베이스(DB) 비밀번호 미변경 등 보안 시스템 부실에 따른 것으로 나타났다.

정보유출 원인은 예산·인력 부족…LG유플 "총력 기울여 재발 방지"
과학기술정보통신부는 27일 ‘LG유플러스 정보유출·접속장애 사고 원인 분석 및 조치 방안’을 브리핑했다. 과기정통부와 한국인터넷진흥원 등으로 구성된 특별조사점검단은 LG유플러스에서 2018년 6월께 생성된 29만7117명분 개인정보가 흘러나간 것으로 추정했다.

점검단은 개인정보 유출 경로로 고객인증 DB 시스템을 지목했다. 2018년 6월 이후 LG유플러스의 고객인증 DB 시스템은 웹 관리자 계정 암호가 ‘admin’으로 설정돼 있던 것으로 조사됐다. admin은 비밀번호 초기값으로 많이 쓰인다. ‘0000’ ‘1234’와 더불어 해커들이 제일 먼저 입력해보는 비밀번호이기도 하다.

고객 정보 등이 포함된 대용량 데이터가 외부로 유출되는 것을 실시간으로 감시하고 통제할 시스템도 없던 것으로 조사됐다. 올해 초 발생한 디도스 공격의 원인으론 내부 라우터 장비 외부 노출, 주요 네트워크 구간 보안장비 미설치 등을 지목했다.

점검단은 LG유플러스에 정보보호 인력·예산을 다른 통신사 수준으로 확대하라고 요구했다. 지난해 통신 3사 정보보호 투자금액은 KT(1021억원) SK텔레콤(860억원) LG유플러스(292억원) 순이다. 정보보호 인력도 KT가 336명, SK텔레콤이 305명인 데 비해 LG유플러스는 91명에 그쳤다.

LG유플러스는 이날 입장문을 통해 “정부의 시정 요구사항을 전사적 차원에서 최우선으로 수행하겠다”며 “불안과 불편을 느끼셨을 고객들께 다시 한번 사과드린다”고 했다. LG유플러스는 지난 2월 최고경영자(CEO) 직속의 사이버안전혁신추진단을 구성했다.

정지은 기자 jeong@hankyung.com