성명, 생년월일, 전화번호가 다는 아니었다. 이메일주소, 휴대폰 단말명, 가입자고유식별번호(IMSI), 단말기고유식별번호(IMEI), 맥(MAC) 주소 등도 함께 유출됐다. 최근 일어난 LG유플러스의 18만 고객 개인정보 해킹 사태와 관련된 이야기다.
현재 LG유플러스 고객센터에서는 보이스피싱·스미싱에 악용될 우려가 있는 만큼 금융 정보나 거액의 돈 이체 요구에 일절 대응하지 말 것을 안내하고 있다. 평소 사용하는 포털이나 이메일 계정 비밀번호 변경도 권유하고 있다. 비밀번호를 휴대폰이나 이메일에 기록하지 않을 것을 제시한다. 이용자 입장에서는 여간 신경이 쓰이고 번거로운 일이 아닐 수 없다.
LG유플러스는 복제폰 피해가 발생할 공산은 낮다고 이용자들을 안심시키고 있다. 유출 정보에 유심 복제를 위해 필수적인 네트워크 인증키 등이 포함되지 않았다는 이유에서다. 유심 칩을 복사해서 금융자산을 가로챌 수 있는 심 스와핑도 어렵다고 주장한다.
하지만 이용자들은 단지 복제폰 탄생만을 우려하는 것이 아니다. 유출된 개인정보가 이미 시장에 떠돌아다니는 다른 개인정보와 결합됐을 때 2차 피해가 발생할 것을 두려워하는 것이다. 맥 주소 유출에도 주목할 필요가 있다. 맥 주소는 이더넷이나 와이파이 등에 쓰이는 네트워크 어댑터 고유 번호로, 기기마다 다르다. 랜 단말기가 통신에 이용하는 단말기 식별번호로 쓰인다. PC·스마트폰 등 네트워크 연결 기기마다 달리 부여된 맥 주소를 알면 이용자 인터넷 활동 이력이나 대강의 위치 정보도 파악할 수 있다.
이제는 LG유플러스가 확실한 해결 의지와 후속 조치를 보여 줘야 할 때다. 첫 대응부터 아쉬웠다. LG유플러스는 1월 2일 전후로 사고를 인지했는데 해커가 공격 사실을 공개하기 전까지 사태를 파악하지 못했다. 이후 신고가 이뤄지고 소비자에게 고지하기까지는 약 일주일의 시간이 걸렸다. 민감한 정보가 노출된 이용자가 더 빠르게 개별 대처를 할 수 있는 시간까지 빼앗긴 것이다.
유출된 이용자에 대한 2차 피해 방지 노력도 필요하다. 특히 민감한 정보가 유출된 이용자들을 지속적으로 관찰해서 이용 행적이나 심 카드 등에 이상이 발생하지 않도록 보호해야 한다. 또한 비정상 심카드 등이 장착했을 때 감지해 낼 수 있는 기술을 도입, 적극 활용하는 것도 필요하다. LG유플러스의 개인정보 보호에 대한 실질적인 대책과 파격적인 인프라 투자가 요구된다.
정예린기자 yeslin@etnews.com
