LG유플러스 IMSI 결함 논란, 뭐가 문제였나?

LG유플러스가 가입자식별정보(IMSI)를 생성하는 과정에서 휴대전화 번호를 일부 반영해온 사실이 확인되면서 논란이 일고 있다. 논란이 불거지자, LG유플러스는 4월13일부터 전 고객을 대상으로 유심 무상 교체와 재설정을 실시하겠다고 밝혔다.

이번 사안의 핵심 쟁점은 LG유플러스의 IMSI 구조가 SK텔레콤, KT와 달랐다는 점이다. SK텔레콤과 KT가 난수 기반 구조를 적용한 반면, LG유플러스는 전화번호 일부를 반영한 IMSI를 써 왔고 이 때문에 특정 가입자 식별 가능성을 높였다는 지적이 나왔다. 다만 보안 전문가들은 설계 개선 필요성에는 공감하면서도, IMSI만으로 유심 복제나 통화·문자 탈취 같은 직접 피해로 이어질 가능성은 낮다고 보고 있다.

IMSI, 보안 허점은 뭐였나?

IMSI는 이동통신 가입자를 식별하는 번호다. 단말이 처음 망에 접속할 때 가입자를 확인하는 데 쓰인다. 국가코드, 사업자코드, 가입자코드로 구성되며, 유심과 통신사 네트워크 서버에 저장된다. 문제는 단말이 처음 망에 붙는 순간 IMSI가 평문으로 전송될 수 있다는 점이다. 그래서 통상은 외부에서 값이 포착되더라도 개인이나 전화번호를 바로 짐작하기 어렵도록 난수 기반으로 설계하는 것이 바람직하다는 지적이 나온다.

LG유플러스는 2011년부터 약 1100만명의 가입자 IMSI 값에 고객 휴대전화 번호를 반영한 구조를 운영해왔다. 이 때문에 특정인의 전화번호를 알고 있으면 가입자 위치를 특정할 수 있다는 우려가 제기됐다.

전문가들 “복제 가능성은 낮아, 문제는 추적 가능성”

전문가들은 IMSI 정보만으로 유심 복제나 단말 복제가 바로 이뤄질 가능성은 낮다고 말한다. 다만 가입자 식별체계 설계로는 허점이 존재한다는 평가도 나온다.

염흥열 순천향대학교 정보보호학과 명예교수는 IMSI 정보만으로 유심 복제나 단말 복제가 이뤄지기는 매우 어렵다고 봤다. 염 교수는 “실제 공격에는 인증키 같은 추가 정보가 필요하다”며 “5G에서는 IMSI를 암호화한 ‘가입자 은닉 식별자(SUCI, Subscriber Concealed Identifier)’ 형태로 전송하기 때문에 위치 추적이 한층 어려워진다”고 설명했다. SUCI는 원래 가입자를 식별하는 번호인 IMSI를 그대로 보내지 않고, 그 값을 암호화하거나 은닉한 형태로 바꿔서 전송하는 방식을 뜻한다.

다만 염 교수는 “위험이 아주 크지 않더라도 유심 교체나 IMSI 변경은 받아두는 편이 바람직하다”고 조언했다. 단독으로는 큰 위협이 아니더라도, 다른 정보와 결합하면 악용 가능성을 완전히 배제하기 어렵다는 설명이다.

김승주 고려대학교 정보보호대학원 교수도 IMSI 정보만으로 유심 복제나 통화·문자 탈취가 이뤄지기는 어렵다고 봤다. IMSI는 로그인 아이디에 가까운 값으로, 이를 안다고 해서 인증에 필요한 다른 정보까지 확보하는 것은 아니라는 설명이다. 위치 파악 역시 특정 장비가 설치된 주변 통과 여부를 확인하는 수준에 머문다고 했다.

LG유플러스 “해킹 가능성 낮아, 작년부터 IMSI 체계 개편 준비”

LG유플러스는 IMSI 구조를 둘러싼 우려에 대해 해킹 가능성은 낮다고 선을 그으면서, 체계 개편은 지난해부터 준비해왔다고 설명했다.

LG유플러스 관계자는 “지난해 경쟁사에서 발생한 유심 정보 유출 사고를 계기로 내부 점검을 진행했다”며 “이 과정에서 기존 IMSI 체계로는 유심 재설정이나 포맷 뒤에도 사실상 같은 IMSI 값으로 돌아올 수 있어, 대규모 사고 때 신속 대응이 어렵다고 판단했다”고 설명했다. 이에 지난해 6월부터 새로운 IMSI 체계 설계와 개발, 상용 검증을 진행해왔다는 것이다.

또한 “IMSI가 망에 처음 접속할 때 가입자를 확인하는 식별값이고, 이후에는 암호화된 키값 등 추가 인증 절차를 거쳐야 실제 서비스 이용이 가능하다”고도 말했다. IMSI만으로는 단독 공격이 어렵고, 다른 정보가 함께 있어야 위험이 커진다는 것이다.

다만, LG유플러스는 우려를 반영해 가입자코드 부분에 난수를 적용한 새 IMSI 체계를 도입하기로 했다. 장기적으로는 5세대 이동통신 단독모드에서 SUCI를 적용해 초기 식별 단계의 암호화 수준도 높인다는 계획이다.

LG유플러스는 4월13일 0시 기준 이동전화 서비스 이용자 전원을 대상으로 유심 무상 교체와 재설정을 순차 진행할 예정이다. 스마트워치 같은 세컨드 디바이스, 키즈폰, LG유플러스 망을 쓰는 알뜰폰 가입자도 포함된다. 4월13일 이후 번호이동이나 신규 가입 고객은 변경된 체계가 적용된 새 유심을 받게 된다.

고객이 유심을 교체하거나 재설정하면 변경된 IMSI 구조가 자동 반영된다. LG유플러스는 교체 희망 고객의 대기 시간을 줄이기 위해 매장 방문 예약 시스템도 운영할 계획이다. 알뜰폰 고객은 원격 유심 재설정 기능이나 제휴 매장을 통해 교체할 수 있고, 향후 직영점과 대리점으로 지원 범위를 넓힐 방침이다.

국회 과방위, 전기통신사업법 개정 추진

국회는 이번 사안을 사업자 내부 설계 문제를 넘어 제도 공백의 문제로 보고 있다.

최민희 국회 과학기술정보방송통신위원장은 17일 IMSI에 전화번호가 그대로 연동되는 문제를 막기 위해 전기통신사업법 개정안 발의 방침을 밝혔다. 개정안은 전기통신번호자원 관리 계획에 IMSI 같은 식별체계 운영 기준을 포함하고, 번호 부여와 관리 과정에서 고객 개인정보를 유추할 수 없도록 하는 내용을 담을 예정이다.

최민희 의원실에 따르면, 최 의원은 지난 1월 화이트해커 제보를 받은 뒤 이동통신 3사 자료를 제출받아 구조를 비교·점검했다. 그 결과 SK텔레콤은 IMSI에 랜덤 수열을 부여하고 있었고, KT는 유심 제조사가 부여한 일련번호를 활용한 반면, LG유플러스는 고객 휴대전화 번호를 IMSI 값에 반영한 것으로 파악됐다.

최 위원장은 또 LG유플러스로부터 4월13일부터 신규 가입자와 번호이동 고객에 변경 체계를 적용하고, 기존 고객에게는 유심 재설정과 무상 교체를 진행하겠다는 설명을 받았다고도 밝혔다. 아울러 올해 11월까지는 원격 재설정을 통해 전 고객의 IMSI 값 난수화 도입을 마무리하도록 기술적 조치를 하겠다는 답변도 받았다고 했다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network