2023년 7월 12일, 한국 개인정보보호위원회는 그해 1월에 공개된 유출 사고와 관련해 LG유플러스에 68억 원(530만 달러)의 과징금과 2,700만 원의 과태료를 부과했다. 해커들은 26개 항목 가운데 이름, 전화번호, 주소, 생년월일, USIM 식별자 등 고객 297,117명의 개인정보를 탈취했다. 이는 한국 기업에 데이터 유출로 부과된 과징금 가운데 최대 규모였다.
위원회는 침해 사고의 원인을 유출이 있었던 것으로 추정되는 2018년 6월 당시 이미 수명이 끝난 소프트웨어로 운영되던 고객 인증 시스템에서 찾았다. 기본적인 침입 차단 장비가 없거나 잘못 설정되어 있었고, 2009년과 2018년에 업로드된 웹셸이 서버에서 발견되지 않은 채 남아 있었다. 또한 개인정보가 담긴 1,000만 건이 넘는 운영 데이터가 개발 및 테스트 환경에 방치되어 있었다.
LG유플러스는 유출 사실을 인지한 뒤 24시간 이내에 영향을 받은 고객에게 개별 통지하지 않은 점도 지적받았다. 위원회는 개인정보 보호 최고책임자의 역할을 강화하고, 내부 관리 계획을 재수립하며, 시스템을 전면 점검하고, 공개적으로 약속한 정보보호 투자를 이행할 것을 명령했다.
무엇을 치렀나
해커들은 고객 파일 297,117건을 탈취했고, 개인정보보호위원회는 유출 사고와 24시간 개별 통지 기한 미준수를 이유로 한국 최대 규모인 68억 원의 과징금을 부과했다.
왜 일어났나
인증 시스템은 통신사가 운영하는 자산 가운데 가치가 가장 높은 표적이지만, 가장 소홀히 관리되었다. 공격자들은 바로 관리가 중단된 지점을 파고든다.
오래된 웹셸이 남아 있는 것은 아무도 찾지 않기 때문이다. 2009년에 심어진 발판은 2023년에도 여전히 사용할 수 있었다.
통지 의무는 유출 대응의 일부다. 유출 사실을 알면서도 피해자 각자에게 알리는 24시간 기한을 놓친 것은 별도로 제재 대상이 되는 실패다.
교훈
보안은 조직도가 아니라 유지보수 예산을 따라간다. 사용자를 인증하면서 지원되지 않는 소프트웨어로 운영되는 서버는 책임 소재가 밝혀지기를 기다리는 유출 사고다.
근거 확인하기