LGU+ 고객정보 유출, 디도스공격 원인분석 및 대책 발표

과기정통부 네트워크정책실장 홍진배입니다.

지금부터 LGU+ 침해사고 관련 발표를 시작하도록 하겠습니다.

과기정통부와 한국인터넷진흥원은 LGU+의 최근 사이버 침해사고 원인을 분석하고 LGU+의 전반적인 정보보호 침해 예방·대응체계를 점검하여서 ‘LGU+ 침해사고 원인분석 및 조치방안’을 오늘 발표하게 되었습니다.

최근 사이버공격으로 인한 디지털 위협이 더욱 빠르고 다양해지고 있습니다. 지난 2023년 1월 초부터 LGU+를 대상으로 한 연이은 사이버공격으로 고객정보 유출, 유선인터넷 등 장애가 발생하였고, 이로 인한 고객정보 도용 등 2차 피해에 대한 우려가 있었고요. 인터넷 서비스 중단에 따른 국민들의 피해가 발생하기도 하였습니다.

자세한 주요 경과는 가운데 박스를 참고해 주시기 바랍니다.

과기정통부와 KISA는 LGU+의 고객정보 대량 유출을 중대한 침해사고로 인식을 하고 민관 합동조사단을 운영해 왔습니다.

또한, 2월에도 발생한 LGU+에 대한 서비스 분산 거부 공격에 대해서 일부 고객의 접속 장애가 발생함으로 인해서 특별조사단으로 확대 개편해서 2월 6일부터 조사·점검을 진행해 왔습니다. 이러한 조사 결과를 하나하나 발표를 드리도록 하겠습니다.

다음, 3페이지입니다.

먼저, LGU+의 고객정보 유출입니다.

이 고객정보 유출에 대한 분석은 총 5단계로 나누어서 저희가 분석을 해봤습니다. 1단계로는 유출 데이터에 대한 내용 분석 및 출처가 어디냐, 그다음에 유출 규모 그다음에 유출 시점에 대한 추정, 그다음에 유출 경로에 대한 파악, 그리고 2차 피해 가능성에 대해서 점검을 해보았습니다.

먼저, 유출 데이터의 내용 분석 및 출처 확인입니다.

LGU+가 해커로부터 확보한 유출 데이터 60만 건은 DB 형태의 텍스트 파일로 26개의 컬럼으로 구성되어 있습니다.

이 컬럼은 휴대전화번호부터 모델명, 이메일 등 다양한 고객 고유정보를 포함하고 있는데요. 이런 유출 데이터를 저희가 분석해 봤을 때 교환기주소나 서비스명 컬럼에서 LGU+의 고객정보로 판단할 수 있는 데이터, 그러니까 ‘lte-lguplus.co.kr’이라든지, U+인터넷전화 이런 데이터를 확인해서 실제로 LGU+의 고객정보가 맞음을 확인한 바 있습니다.

두 번째로, 그러면 어느 시스템에서 이 고객정보가 나갔는지, 이거에 대해서 저희가 또 조사를 해봤습니다.

내부 고객정보 처리 시스템 120여 대 이상을 분석해 봤고요. 그중에서 가장 많은 고객정보를 저장·처리하고 있는 시스템을 3개로 저희가 특정해 봤습니다.

하나는 전체회원 DB, 그리고 부가 서비스 등에 대한 인증 기능을 수행하는 고객인증 DB, 소위 ‘CAS’라고 하는 ‘Compound Authorization System’이고요. 그다음에 회원 탈퇴 시에 해지 고객에 대한 정보를 저장하는 고객 DB, 이 3개 시스템에 대해서 분석해 보았습니다.

다음, 4페이지 보시면 DB의 구성 분포는 그림과 같습니다.

인증 DB는 CAS와 연계돼서 외부에서 접속할 수 있는 체계로 돼 있었고요. 그리고 내부 시스템으로서 전체회원 DB와 해지고객 DB가 이렇게 운영되고 있었습니다.

위 3개 DB를 저희가 분석해 봤을 때 유출 데이터의 26개 컬럼을 비교해 봤는데 고객인증 DB에서 컬럼명이 22개가 완전히 일치하였고 유사 컬럼이 3개가 나왔습니다.

또한, 2014년 6월부터 2021년 8월까지 LGU+에서 계정통합 작업을 진행해 왔는데요. 전체회원 DB, 해지고객 DB에는 정상적으로 삭제된 데이터가 작업 오류로 인해서 고객인증 DB에 남아 있는 것이 2.7만 건, 그러니까 고객인증 DB에만 있는 것이 2.7만 건 있었습니다. 그래서 이게 저희가 고객인증 DB에서 나갔다는 것을 저희가 특정을 할 수가 있었습니다.

그리고 유출 규모와 관련해서는 LGU+가 확보한 60만 건 유출 데이터 중에서 동일인 중복 데이터를 제거했을 때 29만 6,477명의 데이터를 확인하였습니다. 그리고 또한, 추가로 저희가 이미지 데이터를 확보했습니다. 다크웹에 자기가 가지고 있다고 이미지 파일들을 올렸는데 거기에도 개인정보가 노출돼 있었는데 거기서 저희가 추가로 확보한 것이 1,039명을 더 추가적으로 확보하였습니다.

다음, 5페이지입니다.

그래서 토털 유출된 고객정보의 숫자는 29만 7,117명의 고객정보로 확인되었습니다.

다만, 해커가 3,000만 건을 가지고 있다, 라고 주장하고 있는데 이미지 파일을 올리면서 그거를 주장하고 있어서 저희가 봤을 때는 이미지 파일만으로는 해커가 추가적인 고객데이터를 가지고 있느냐, 라는 건 단정하기는 어렵지만 또 유출 규모가 더욱 확대될 수 있는 가능성도 저희가 열어두고 예의주시를 하고 있습니다.

다음 세 번째로, 고객 데이터의 유출 시점에 대한 추정입니다.

통상적으로 고객의 데이터가 요금제나 회원정보나 각종 컬럼들이 변경되면 고객정보 변경시간이라는 그 컬럼, ‘UPDATE_DTIME’이라는 그 컬럼값이 변경되게 됩니다. 그래서 그게 언제 변경됐느냐, 라는 것을 저희가 쭉 따라가 봤습니다. 그래서 그걸 근거로 유출 시점을 확인해 봤는데, 통상적으로 하루 평균 한 2,000건 정도의 변경값이 나오게 되는데, 마지막으로 변경된 업데이트값이 2018년 6월 15일 03시 58분으로 마지막으로 업데이트가 돼서 그 해당 시점 직후에 해커가 유출하기 위해서 세이브 파일을 하나 만들어서 그거를 갖고 나간 것으로 추정하고 있습니다.

이거는 파일 유출 시점의 시스템 로그가 남아 있지 않아서 정확한 유출 그거를 특정하기에는 어렵습니다마는 이걸 근거로 저희가 추정을 해봤다, 라고 보시면 될 것 같습니다.

유출 경로에 대한 것도 해당 시스템과 DB 접속에 대한 로그정보가 거의 남아 있지 않습니다. 왜 그러냐 하면 지금 현재 개보법에 따라서 접속기록 의무보장 기간이 2년으로 돼 있기 때문에 2년 이상이기는 합니다만 통상적으로는 최소 기간을 보존하는 경우가 많아서 그 이후에는 시스템 대개체가 일어나서 저희가 로그를 열심히 찾아봤습니다마는 그 로그 분석을 통해서는 한계가 있었습니다.

그래서 저희가 고객정보가 유출될 수 있는 침해사고 시나리오를 총 16개를 마련해 봤습니다. 그래서 다양한 침투 경로로 이게 어떻게 뚫렸을 것이다, 라는 그 시나리오를 한번 마련을 하고 그거에 대한 어떤 시나리오 검증·판단기준을 네 가지로 마련했습니다.

이 시스템이 인터넷에 연결되어 있는지, 그리고 그 시스템에 해킹에 악용될 수 있는 취약점이 존재하는지, 그리고 접근 제어 정책을 적용하고 있는지 여부, 그리고 불필요한 파일 관리를 어떻게 해왔는지, 이런 거에 대해서 판단기준에 따라서 각각의 시나리오를 검증을 하였고, 그리고 이 과정에서 2018년 6월에 LGU+를 대상으로 한 취약점 분석결과 보고서를 근거로 해서 그 당시 고객인증 DB 시스템의 취약점을 확인할 수 있었습니다.

당시 고객인증 시스템은 웹 관리자 계정 암호가 시스템 초기 암호로 설정돼 있습니다. 통상 admin으로 쓰는 그런 admin류의 초기 암호로, 그 제품이 납품되었을 때의 초기 암호로 설정이 돼 있었고요.

시스템에 웹 취약점이 있어서 해당 관리자 계정으로 악성코드를, 웹셸을 설치할 수가 있었고요, 관리자 계정을 활용해서. 그다음에 그 관리자가, 탈취된 관리자 계정이 DB로 접근할 때 인증체계가 적용돼 있지는 않았습니다. 그래서 이 공격자가 웹셸을 이용해서 파일을 유출해 갔을 것이다, 라고 이렇게 저희가 추정을 해보았습니다.

다음 페이지 보시면, 6페이지에 그림으로 정리를 해봤습니다.

공격자가 정찰을 통해서 고객인증 시스템의 관리자 계정이 굉장히 취약하다, 라는 것을 확인을 하고 그 취약점을 통해서 관리자 권한을 획득한 다음에 거기에 웹셸을 업로드를 한 다음에 세 번째, 웹셸을 통해서 그 DB에 접근할 때 인증체계가 있으면 거기서 한 번 또 블록을 할 수가 있습니다. 그런데 인증체계가 없으면 거기서 바로 가서 자기가 원하는 행동을 하고 그거를 마지막으로 빼내올 수 있는 그런 프로세스를 가졌을 것으로 저희가 보여지고 있습니다.

그리고 마지막으로, 유출된 데이터를 악용한 2차 피해 가능성에 대해서도 저희가 점검을 해보았습니다.

2차 피해는 스미싱, 피싱, 불법 로그인, 유심 복제 이런 가능성들이 있는데, 이 중에서 불법 로그인 같은 경우에는 암호화가 되어 있고 유심 복제의 경우에는 실제 유심에 개인키가 필요하기 때문에 가능성은 조금 낮다, 라고 판단이 되고 있고, 피싱과 스미싱, 이거에는 악용이 될 수가 있어서 그 부분에 있어서는 저희가 관계기관하고 개보위와 같이해서 예의주시하면서 모니터링을 집중적으로 진행하고 있습니다.

다음, 7페이지 되겠습니다.

두 번째로, 2월에 일어났던 LGU+ 유선망 대상 디도스 공격입니다.

이것도 3단계로 저희가 분석을 진행해 봤습니다. 공격 발생과 피해 현황, 그다음에 공격 유형과 특징에 대해서 저희가 분석을 했고, 왜 그러면 이게 LGU+ 망을 대상으로 한 공격으로 이어졌는지 이 세 가지로 나누어서 분석을 해봤습니다.

먼저, 공격 발생 및 피해 현황입니다.

1월 29일하고 2월 4일, 이틀에 걸쳐서 총 5회에 걸쳐서 총 120분간 LGU+ 인터넷의 유선인터넷과 VOD, 070 전화 서비스에 장애가 발생하였습니다.

가운데 그림을 보시면 1월 29일에 발생한 거는 해외와 타사 IX를 통해서 게이트웨이하고 코어 라우터를 디도스 공격하는 그 공격이 있었고요.

두 번째, 2월 4일에 발생한 것은 홈·기업 고객단에서, 가입자단에서 엣지 라우터를 마비시켜서 일부 해당 지역의 서비스가 마비되는 공격이 있었습니다. 1월 29일에는 3회에 걸쳐서 63분 동안 해외나 IX를 통한 네트워크 장비 14대에 대해서 디도스 공격을 감행하였고, 이에 따라서 전국 대부분에 서비스 장애가 간헐적으로 발생하였습니다.

다음, 8페이지입니다.

2월 4일에는 2회에 걸쳐서 57분 동안 엣지 라우터 320대를 대상으로 해서 서비스 장애가 발생했습니다.

다음, 디도스 공격, 이번 공격의 특징 및 유형을 살펴보면 공격자가 통신사의 보통, 통상적으로 서버를 대상으로 하는 경우가 많은데 이번에는 라우터를 대상으로 한 공격이었다, 라는 거고요.

그다음에 라우터 장비에 다량의 비정상 패킷을 유입시켜서 CPU의 이용률을 대폭적으로 상승시키는 것을 얘기하는 자원 소진 공격으로 공격을 하였습니다.

좀 더 구체적으로 살펴보시면 이번에는 'Syn Flooding' 기법을 활용해서 공격 대상 라우터의 CPU의 부하량을 평소보다 3~4배 이상 증가시켜서 CPU가 제대로 작동하지 못하도록 만드는 그런 공격을 구사한 것으로 파악하였습니다.

그러면 세 번째로, 왜 LGU+가 지금 타깃이 돼서 발생하였는가, 그거를 저희가 더 살펴보았습니다.

보통은 통상적으로 라우터 정보의 경우에는 굉장히 중요한 정보기 때문에 외부 노출을 최소화하고 있습니다. 하지만 LGU+의 경우에는 외부에서 포트 스캔이나 이렇게 해서 탐지될 수 있는 라우터들이 68개 이상의 라우터가 외부에 노출되어 있었습니다. 그래서 공격자는 포트 스캔을 통해서 LGU+의 라우터 정보들이 뜨는 것을 보고 공격의 대상이 될 수 있는 그거를 특정하기가 용이했을 것으로 판단하고 있습니다.

다음, 9페이지입니다.

LGU+의 주요 라우터 같은 경우에는 라우터 간 경로 정보 갱신에 필수적인 통신 외에 신뢰할 수 없는 장비와도 통신이 가능하도록 오픈된 상태로 개방이 돼 있어서 비정상 패킷 수신도 가능했던 것으로 보여지고 있습니다.

일반적으로 접근 제어 정책, ‘Access Control List’를 통해서 신뢰할 수 있는 라우터 간의 통신만 허용하고 그 밖의 것은 통상적으로 통신 유형을 제한하지만, LGU+의 경우에는 이런 보안조치가 미흡한 것으로 판단되고 있습니다.

마지막으로, 라우터 보호를 위한 IPS 같은 보안장비가 라우터별로 붙어서 내부로 인입되는 비정상 트래픽에 대한 검증이라든지 트래픽 제어 같은 것들을 해줄 수 있어야 되는데 이런 것들이 안 된 것이 초기에 장애로 이어지는 원인이 되었던 것으로 판단하였습니다.

이러한 저희 파악된 문제점에 대해서 저희가 LGU+에 시정조치를 요구하는 사항이 되겠습니다.

실시간 감지체계에 대한 부재라든지, 시스템별 로그 저장 기준, 보관 기준에 대한 부재 같은 그런 것들에 대해서 저희가 LGU+의 메일 시스템에 적용되어 있는 AI 기반 모니터링체계를 고객정보 시스템까지 확대토록 저희가 요구를 하였고요. 그다음에 IT 자산 중요도에 따라서 중앙로그관리 시스템을 구축·수립하고 주기적인 점검을 수행토록 하였습니다.

두 번째로, 네트워크 및 자산 관리 측면에서는 아까 앞서 설명드린 것처럼 굉장히 많은 주요 네트워크 정보가 불필요하게 외부에 노출되어 있기 때문에 이런 것에 대한 통합관리 시스템 이런 것들이 필요하다고 생각돼서, 다음 10페이지가 되겠습니다.

분기별로 1회 이상 보안 취약점을 점검하고 제거할 수 있도록 하고, IT 자산의 통합관리 시스템을 도입해서 이런 기본적인 세팅이라든지 점검에 대해서 개선해 나갈 수 있도록 그렇게 하였습니다.

세 번째로, 전문 보안인력 정보보호 투자에 관한 사안입니다.

기본적으로 조직의 권한과 책임도 미흡했고 보안 투자도 굉장히 저조한 것으로 저희가 파악을 하고 있습니다. 정보보호 공시 작년에 했던 것을 보면 KT나 SKT가 800억~1,000억 정도를 투자하고 있는데 LGU+가 한 290억 정도 투자하고 있기 때문에 한 3분의 1 이하로 투자를 하고 있다고 보여지고 있고요.

정보보호 대응인력도 91명으로 타 통신사 대비 한 3분의 1 이하로 운영하고 있어서 전체적으로 타 통신사와 최소한 대등한 수준으로는 보강할 필요가 있겠다, 그리고 정보보호 책임자를 CEO 직속으로 해서 전문화된 보안 조직체계를 갖출 필요가 있고요. 그다음에 장기 계획에 따라서 그간에 못 한 보안 투자도 진행될 수 있도록 저희가 요구를 하였습니다.

그리고 실효성 있는 보안 대응체계에 관한 사안인데요. 실전형 침투훈련이 좀 부족하였고, 실무형 업무 매뉴얼도 좀 부재하였다고 저희가 판단하고 있습니다.

그래서 맞춤형 모의훈련을 2회 이상 수행하고, 특히 외부기관이 진행하는 모의 침투훈련에도 반드시 참여토록 해서 평소 사이버 위협 대응 능력을 제고할 필요가 있고, C레벨을 포함한 교육도 2회 이상 실시토록 하였습니다.

다음, 11페이지입니다.

저희가 이렇게 개별적으로 LGU+에 요구하는 것 외에도 저희도 매크로 레벨에서 선제적으로 체계적으로 대응할 수 있는 대응체계나 제도개선과 관련된 사항들도 추진할 계획입니다.

먼저, 저희 인터넷침해사고대응센터(KISC)에서 개별 사이버 위협 대응에 이용되는 기존 탐지 시스템들을 사이버 위협 통합 탐지 시스템으로 저희도 통합 구축을 해서 고위험 대상 시스템을 조기에 탐지·식별하는 체계로 저희도 업그레이드하려고 하고 있습니다. 그리고 수사기관 등과 공조를 해서 능동적 사이버공격 추적체계도 도입을 해서 공격자의 공격 억지력을 강화해 나갈 계획입니다.

두 번째로, 법·제도 개선도 추진할 계획입니다.

전체적으로 보면 침해사고 신고에 대해서 저희가 평소에 운영하다 보면 사업자가 침해사고를 당하지 않았다고 주장하거나 사고 자체를 인지하지 못한 경우가 있습니다. 그런 경우에는 자료 제출 요구가 어렵습니다.

지금 현재는 침해사고 원인 분석 및 대책을 위해서만 지금 현행 법령상 자료 제출을 요구하고 확인할 수가 있기 때문에 이 두 가지 경우에는 사실 침해사고가 발생한지 여부 자체를 사업자가 협조를 해주지 않으면 하기 어려운 한계가 있었습니다.

그래서 저희가, 그다음 12페이지의 침해사고 정황이나 징후가 명확한 경우에는 관련 사업자한테 자료 제출을 요구할 수 있는 근거를 마련할 필요가 있다고 생각하였습니다.

그리고 또한 왜 침해사고를 잘 신고를 하지 않느냐, 저희가 그걸 봤을 때는 내가 침해사고를 당했다는 사실이 외부로 공개되는 경우에는 회사의 기업 이미지 실추 이런 것들을 우려해서 신고를 잘 하지 않는 그런 경향이 있는 것으로 파악돼서 침해사고에 대한 신고 내용과 자료에 대해서 보호를 할 수 있는 근거를 마련할 필요도 있을 것 같습니다.

그리고 이렇게 했음에도 불구하고 신고를 하지 않은 자에 대해서는 과태료를 좀 더 상향해서 침해를 좀 더 신속하게 할 수 있도록 유도할 필요가 있다고 생각되었습니다.

그리고 저희가 통상적으로 조치방안 이렇게 하는 경우에는 권고를 하도록 법에 따라서 돼 있는데 이거에 대해서는, 그리고 이행점검에 대한 규정이 없습니다. 그래서 저희가 권고 규정 외에 권고 또는 명령으로 해서 상황이 중대한 경우에는 명령도 할 수 있도록 저희가 개정을 하고 별도로 이행조치에 대해서 이행 여부를 점검할 수 있는 그런 체계도 제도적으로 보완을 할 계획입니다.

그리고 마지막으로, 저희가 보안 패러다임을 전체적으로 전환을 빨리할 필요가 있겠습니다. 크게 두 가지로 보면 제로트러스트와 공급망 보안이라고 할 수 있겠는데요.

지금 과거에 일어났던 여러 가지 케이스들도 보면, 특히 유출 사고의 경우에는 경계선 중심의 보안체계, 통상적으로 지금 저희가 많이 각 조직에서 운영하고 있는 체계가 경계선 중심의 보안체계인데 그러다 보니까 경계선 안에만 들어오게 되면 그 안에서의 자유로운 횡적 이동이나 여러 가지 권한 관리체계가 미흡해서 그 안에 있는 정보가 다 유출되는 그런 여러 가지 사고들이 있었습니다.

그래서 이거에 대해서 저희가 인증체계 강화뿐만 아니라 비정상 행위를, 들어온 공격자에 대해서 비정상 행위를 탐지해서 그걸 억제할 수 있는 우리 환경에 맞는 제로트러스트 기본모델을 저희가 정립을 해나갈 그럴 계획이고요.

그리고 공급망 보안 측면에서는 공급자, 소프트웨어를 공급하는 공급자뿐만 아니라 그걸 갖다 쓰는 수요자들도 어떤 소프트웨어가 어떻게 쓰였는지를 정확하게 알아야지 그 소프트웨어에 취약점이 있을 때 그거를 개대체하거나 취약점을 빨리 분석해서 보완조치를 할 수가 있습니다. 그래서 이런 거에 대한 저희가 공급망 보안 지원체계도 아울러서 마련해 나가고자 합니다.

마지막으로, 저희가 이 기간통신사업자에 대한 침해사고는 국민의 일상의 불편을 넘어서 막대한 경제적 피해, 사회 전반의 마비까지도 야기할 수 있습니다. 그래서 저희가 그거를 엄중히 인식하고 있고, 사이버 예방 및 대응에 충분한 투자와 노력을 다함으로써 국민들의 안전한 디지털 서비스 이용을 보장해야 할 책무가 있다, 라고 생각됩니다.

정부도 날이 갈수록 다양해지고 확대되고 있는 지능적·조직적 사이버 위협에 대비해서 기존 정보보호체계보다 훨씬 더 실효성 높은 체계로 강화해서 국민과 기업이 안전한 디지털 서비스를 이용할 수 있도록 구축해 나가도록 하겠습니다.

이상 간단히 발표를 마치도록 하겠습니다.


[질문·답변]
※마이크 미사용으로 확인되지 않는 내용은 별표(***)로 표기하였으니 양해 바랍니다.

<질문> 질문 두 가지 있는데요. 개인정보 유출 같은 경우에 결국에 구체적인 유출 경로가 확인이 안 된 셈이잖아요. 대리점이나 판매점을 통한 유출도 추정해 볼 수 있을 것 같은데 이런 부분은 혹시 확인된 게 없는지 궁금하고요.

추가로 개인정보 유출 규모가 계속 왔다 갔다 하는데 경찰발로는 39만 6,000명일 거라는 이야기도 있는데 어떤 게 맞는 건지 궁금하고, 이게 특별조사점검단이 이렇게 끝나는 건지, 또 수사는 어떻게 진행이 되는 건지 설명 부탁드립니다.

<답변> 세 가지 질문을 주셨는데요. 저희가 16개 시나리오를 분석했고, 저희가 그중에서 가장 근거가 있는 거를 기준으로 해서, 왜냐하면 취약점들이 거기에 다 있었기 때문에 저희가 아까 말씀드린 것처럼 인증체계가, 그러니까 여기서 한 것처럼 고객인증 시스템에 admin 관리자가 admin으로 계정 비밀번호가 그렇게 돼 있는 경우에 사실 쉽게 탈취가 가능하고, 그다음에 정보, DB에 접근할 때 인증체계가 없으면 사실 거기도 탈취자 웹셸을 통해서 쉽게 가능하기 때문에 가장 유력한 시나리오로 그거는 그때 당시에 확인된 그 취약점이 있기 때문에 어느 정도 그 추정력이 있다, 라고 저희가 판단하고 있고요.

16개 시나리오 중에서 지금 말씀하신 대리점이나 이런 거를 통해서 빠져나갈 수 있는 그것도 해봤습니다마는 그 대리점이나 이런 데서는 거기에 직접적으로 접속하는 데 한계가 있고, 그렇기 때문에 그거에서는 그 시나리오상에서 가능성이 낮다고, 그 근거를 저희가 찾을 수가 없어서 가능성이 낮다고 보았습니다.

그리고 유출 규모는 저희가 일단 현재까지 파악된, 전체 해커로부터 파악된 이거를 근거로 해서 저희가 시스템 대조를 다 해봤고요. 그거에 따라서 29만 7,117건으로 지금 저희가 특정을 했습니다. 이거는 개보위와 같이 저희가 확인 작업을 진행한 사안이다, 라는 그런 거고요.

그다음에 지금 현재 이와 별도로, 경찰청에서는 수사는 별도로 또 진행을 하고 있습니다. 해커를 잡은 건 아니기 때문에 이것에 대한 수사는 별도로 진행이 계속되고 있다, 이렇게 말씀드릴 수 있을 것 같습니다.

<질문> ***

<답변> 특별조사단은 지금 일단은, 일차적으로는 일단 저희가 조사할 수 있는 부분은 다 조사를 한 거고요. 추후에 저희가 아까 말씀드린 것처럼 이미지 파일 같은 것들이 아직 올라와 있기 때문에 추가적으로 발생할 수 있는 가능성에 대비해서 저희가 그거는 가능성을 열어두고 계속 저희가 모니터링하고 대응하는 체제는 유지·운영을 할 것입니다.

<질문> LGU+가 정보 유출을 인지한 시점이 정확히 며칠인지 궁금한데요. 개인정보보호법에 보면 유출을 인지한 시점에서 지체 없이 고객에게 알려야 하는데 이 타임라인을 보면 한참 늦은 걸로 계산이 되거든요. 그래서 이게 개인정보보호법 위반이라고 볼 수 있는지 궁금하고요.

그리고 이번에 유출 규모를 키운 게 해지고객 데이터도 한 몫을 한 것 같은데 그 해지고객 정보 보유 기간이 5년으로 알고 있는데 그 기간을 넘긴 부분이 있는지, 이 자료에 보니까 해지고객 DB에서 삭제한 정보가 고객인증 DB에 남아 있었다고 돼 있는데 정확한 설명 부탁드립니다.

<답변> 인지한 시점은 저희가 1월 2일이죠? 1월 2일에 저희가 알려줬기 때문에 그때 1월 2일에 알려줬고 고객들에게 통지한 게 1월 10일로 이렇게 지금 알고 있습니다. 그래서 이거에 대해서는 지금 개보위에서 고객 통지의 적정성 이런 거에 대해서는 별도로 조사 중인 것으로 알고 있습니다.

그다음에 두 번째 질문이.

<질문> 해지고객 데이터도 보유 기간을 넘긴 것인지 궁금한데요.

<답변> 보유 기간을 넘긴 것인지, 그거는...

<답변> (최광희 한국인터넷진흥원 사이버침해대응본부장) 구체적인 사항은 개보위에서 추가로 조사할 예정이지만... 한국인터넷진흥원의 최광희 본부장입니다. 개인정보와 관련돼서 위법성 여부는 개인정보보호위원회에서 별도로 조사를 하고 있지만 개인정보보호법에 따라서 탈퇴한 회원도 개별법에서 요구하는 경우 해지고객 정보를 일정 기간 보유를 할 수 있습니다.

전자상거래보호법이라든가 국세와 관련된 법률에 따라서 5년까지 개별법에서 요구하는 기간까지 보유할 수 있기 때문에 해지고객 정보 자체를 보유했다는 것으로 위법으로 보기는 좀 어려울 것 같습니다.

<질문> 당초 처음에 LGU+가 알렸던, 개인정보 유출됐다고 알렸던 그 고객이 18만 명이었는데 이후에 해지고객 11만 명을 다시 알렸어요. 그런데 이게 3주 넘게 유출 사실을 공지하지 않았고 정부도 이것에 대해서 문제를 삼지 않았는데 이게 앞으로도 이렇게 늑장 신고나 축소 발표 이런 게 있었을 때 정부에서 어떤 조치를 할지, 지금 과태료 부과에 대해서는 신고하지 않은 자에 대해서만 얘기를 하셨는데 추가로 어떤 조치가 있는지 궁금합니다.

<답변> 이 부분에 대해서는 두 가지로 구분해서 볼 수 있을 것 같은데 침해사고 신고에 대해서는 저희가 아까 저희 정보통신망법에서 이 제도개선이 필요한 사안이 될 것 같고요.

지금 말씀하신 이 부분에 대해서는 개보법에 따라서 아까 말씀드린 것처럼 개보위가 통지가 적정하게 이루어졌는지에 대해서는 지금 살펴보고 있는 그런 사안이 될 것 같습니다. 그래서 이것이 적정하게 이루어졌는지 여부는 추후에 개보위에서 판단해서 따로 말씀드릴 수 있을 것 같습니다.

<질문> 여기 자료를 보면 전부 원인이 추정이잖아요. 확실한 게 지금... 확실히 확인된 건 없고 그저 추정이 많고, 지금 해커도 미상의 해커인데 이게 해커인지도 확실한지도 모르겠고, 디도스 공격자도 못 찾은 것 같은데 혹시 이게 나중에 좀 원인이 다시 발견되면 그때 다시 또 시정조치를 하실 계획인지가 첫 번째 질문이고요.

두 번째 질문은 이게 조금 계속 시간이 1~2년 동안 계속 조사를 한다 하더라도 이거를 찾을 수가 없는 건지, 지금 LGU+ 사태가 제가 알기로는 1월로 알고 있는데 지금 3개월 정도 지났잖아요. 그런데 그때 중간, 중간에 언론에서 계속 보도됐던 것과 크게 차이점은 없거든요, 지금 4월 발표가. 그래서 과연 시간이 지나도 이거를 공격자, 가해자, 범죄자? 어떻게 설명해야 될지 모르겠지만 이분들을 찾을 순 없는 건지가 두 번째 질문입니다.

<답변> 두 가지로 나눠서 볼 수 있을 것 같습니다. 고객정보 유출의 경우에는 일단은 그거를 유출 경로를 찾으려 그러면 아까 어디 시스템에서 나갔느냐, 그거는 추정이라기보다는 거의 확인에 가까운 수준이라고 볼 수 있을 것 같습니다. CAS에서 나갔다, 라는 거는 컬럼을 저희가 대조를 해서 확인했기 때문에 거기서 나갔다는 것은 확인을 한 거고요.

그리고 이거를 어떻게 나갔는지를 하려고 그러면 사실 각각에 있는 여러 시스템들의 시스템 로그들이 다 남아 있어야지 사실은 누가 이렇게 쭉 접속 경로를 추적을 해볼 수 있는 그런 측면이 있는 건데, 아까 말씀드린 것처럼 시스템 로그 보존 기간이 2년이기 때문에 지금 벌써 시점 자체가 한 5년이 흐른 시점이기 때문에 시스템 로그는 없습니다. 그렇기 때문에 그거를 시스템 로그가 없는 상황에서 가상의 시나리오를 저희가 얘기할 수는 없는 거고요.

다만, 당시에 외부기관에서 분석했던 취약점 분석 보고서, 아까 그 보고서가 admin 관리계정에 대한 취약점, 그다음에 인증서버에 대한 취약점을 그대로 다 지적하고 있었기 때문에 그걸 그대로 타고 들어가서 해보면 그대로 다시 꺼내올 수가 있습니다. 그래서 그 16개 시나리오를 저희가 다 놓고 분석을 해봤을 때는 가장 근거가 있는 추정으로 저희가 판단이 되고 전문가들하고도 그렇게 한번 저희가 분석을 한번 해봤다는 거고요.

공격자는 아까 말씀드린 것처럼 경찰에서 그거는 추적을 하고 있고, 사실 공격자를 찾는 작업은 여기 계신 분들 잘 아시겠습니다만 경찰도 굉장히 여러 백방으로 하지만 못 찾는 경우가 사실 굉장히 많습니다. 당연히 공격자를 찾거나 추가적인 증거가 나온다 그러면 당연히 그건 다시 분석을 할 그럴 계획이고요.

저희가 일단은 현재까지는 최대한 여기 있는 시스템을 120개 시스템을 다 한번 조사를 한번 했고, 그리고 가장 근접한 근거를 찾아서 저희가 공격의 역추적을 한번 해봤다, 라고 보시면 될 것 같고요. 공격자는 지금 경찰청에서도 계속 저희와 긴밀하게 이런 자료를 주고받으면서 심도 있게 수사를 진행하고 있다, 이렇게 보시면 될 것 같습니다.

<질문> 방금 언급하신 그 외부 보고서가 작성된 시점이 2018년 6월이고 처음 유출된 걸로 추정되는 시점도 사실 비슷한 시점인데 이게 시기가 어느 게 앞인지 모르겠지만 미리, 이런 admin으로 사실 비밀번호가 돼 있었다는 거는 무슨 초등학교도 아니고 매우 황당한 거잖아요. 그런데 이게 이렇게 보고서까지 있었는데 예방이 불가능했던 건지가 우선 궁금하고요.

그리고 LGU+뿐만 아니라 다른 기업들도 일단 유출됐다는 지적이 외부에서 나오면 ‘우리에게서 나간 게 아니다.’라고 계속 이야기를 하는 게 반복되고 있잖아요. 그런데 이것 법제 개선을 하시겠다고 하는데 구체적으로 어떻게 하실 수 있는 건지, 내용 준비하고 계신 게 어떤 내용인지 궁금합니다.

<답변> 일단 예방을, 일단 취약점 분석은 그때 6월에 시행된 걸로 저희가 확인을 했고, 그래서 그 유사한 시기, 그 유사한 시기에 그런 취약점이 있었기 때문에 그 취약점을 활용한 공격이 가능했다, 라는 것도 굉장히 설득력 있는 추정이라고 저희가 보고 있고요.

그 이후에, 그 이후에 LGU+도 보완조치는 한 것으로 알고 있습니다. 보고서가 나오고 그 보완조치를 한 것으로 알고 있습니다만, 어떤 탐지 시스템이나 이런 것들이 없었기 때문에 이게 자기 시스템에서 나갔는지 여부 자체를 인지하지는 못했던 것으로 저희가 파악을 하고 있습니다.

그리고 제도개선과 관련해서는 기본적으로 침해사고를 당한 기업들이 침해사고를 당한 사실 자체를 노출 안 시키려는 유인이 굉장히 강합니다. 그래서 그런 것들을 저희가 조금 아까 설명드린 것처럼 조금 더 완벽하게 그 사람들의 행태를 다 바꿀 수는 없겠습니다만 저희가 침해사고를 신고 받은 사실에 대해서 기본적으로 외부 노출을 제한해서 그것을 보호해 주고, 그리고 침해사고를 신고하지 않았을 때 과태료 같은 것도 상향해서 당근과 채찍 두 가지를 같이 병행해서 침해사고 신고를 최대한 유도하려고 하고 있습니다.

사실은 침해사고를 신고했다고 해서 그 사업자를 처벌하지 않습니다, 저희 정보통신망법에서. 왜냐면 그 기업도, 해당 조직도 피해자이기 때문에 그 자체를 처벌하지는 않습니다. 다만, 이번 경우는 앞 첫 번째 케이스처럼 개인정보 관리를 부실하게 한 경우에는 그거는 별도 법에 따른 처벌 대상은 됩니다마는, 어쨌든 침해사고가 됐을 때는 빨리 알려주시는 것이 굉장히 저희도 중요하다고 생각돼서 그것은 제도개선을 통해서 조금 더 진전될 수 있도록 그렇게 추진하려고 하고 있습니다.

<질문> 소비자들 입장에서는 30만 건 내용에 자기 정보가 포함돼 있는지, 안 돼 있는지 이런 것도 관심사가 될 것 같은데 정보 유출 시점이 2018년 6월 15일 03시 58분으로 추정된다면 이 이후에 LGU+에 가입하거나 했던 소비자들 입장에서는 안전하다고 단정할 수 있는지가 먼저 첫 번째로 궁금하고요.

그리고 데이터 유출 시 이상 징후를 탐지하고 차단할 수 있는 실시간 감시체계, 이거를 혹시 기업에 권고나 명령이 아닌 강제적으로 도입하게 된다면 조금 이런 사태를 막을 수 있을 것 같다, 라는 생각도 드는데 이게 현실적으로 어떤 어려움이 있는 건지도 궁금합니다.

<답변> 현재는 안전하다고 단정할 수 있느냐, 사실 단정이라는 거는 사실은 ‘침해사고로부터 100% 안전합니다.’ 이거는 저희도 그렇고 아마 조직도 그렇고 단정하긴 좀 어려울 것입니다. 다만, 그때 나타났던 취약점들은 기본적으로 보완이 이루어진 것으로 보여지고, 저희가 조사과정에서 또 발견된 취약점도 이번에 하면서 보완을 했습니다.

다만, 저희가 시정요구에서도 했듯이 취약점은 계속 운영과정에서 계속 또 발생합니다. 업그레이드를 하고 서버를 개대체를 하고 이런 과정에서 계속 발생하기 때문에 저희가 적어도 주기적으로 취약점 점검을 분기별로 1회 이상, 모든 IT 자산에 대해서 하도록 저희가 권고를 했고요.

그리고 AI 기반의 어떤 모니터링체제 그다음에 중앙로그관리 시스템, 이런 것들을 저희가 권고를 했는데 U+에서도 전향적으로 검토를 하고 있어서 지금보다는 훨씬 더 보안 수준이 더 획기적으로 높아질 것으로 기대하고 있습니다.

<질문> 저는 디도스 공격 여쭙고 싶은데 그 당시에도 PC방 운영하시는 분들이 피해 가장 많이 호소하셨던 걸로 알고 있는데 최근에도 LGU+ 망 쓰시는 PC방에서 디도스 공격이 있고 망이 좀 불안정하다고 주장하시는 분들이 있는데요. 이후 지금 여기서 파악된 접속 장애 일어난 이후에도 디도스 공격으로 인한 장애가 혹시나 파악된 게 있는지 궁금합니다.

<답변> 이때 두 차례 이후에도 디도스 공격은 있었습니다만 그 이후에는 IPS나 장비 같은 것들을 긴급하게 거기다 포팅을 해서 디도스 자체를 방어를 해내서 장애까지는 이어지지 않은 것으로 저희가 판단하고 있고요.

그 이후에도 계속 약하다고 생각되면 공격자는 계속 공격을 하는 습성이 있기 때문에 그 이후에는, 저희가 조사가 들어간 이후에는 긴급 보안조치들을 좀 시행을 해서 방어를 한 그런 케이스입니다.

<질문> 디도스 공격 관련해서 내부 라우터 장비가, 정보가 외부에 노출됐다고 했는데 그 양태 어떤 건지 궁금하고요. 어떻게, 정보가 어떻게 외부에 공개된 형태로 있었는지 그 양태가 좀 궁금하고요.

그리고 디도스를 공격한 세력이 IP를 변경했다고는 했는데 최종적으로 IP 소재지가 확인된 바가 있는지, 그것 두 가지.

<답변> IP가 변경된...

<질문> IP가 뭐 근거지 있잖아요. 변경 IP가 발견된.

<답변> 아, 스푸핑, 예. 그 부분에 대해서는 우리 최광희 본부장이.

<답변> (최광희 한국인터넷진흥원 사이버침해대응본부장) 먼저, 질문해 주신 라우터 정보 노출 같은 경우에는 라우터는 네트워크를 담당하는 중요 기기이기 때문에 외부에서 해당 정보를 식별할 수 없게 접근 제어 정책을 통해서 가려야 됩니다. 그런데 LG는 라우터의 IP와 포트 정보가 노출이 돼 있는 상태로 있었습니다.

저희가 점검했을 시점에 1월 초에 한 68개 라우터 정보가 노출이 돼 있었기 때문에 해커도 이런 라우터를 식별할 수 있는 상황에 놓여 있었습니다. 일반적으로는 라우터들은 신뢰할 수 있는 라우터들끼리만 식별할 수 있도록 가려져 있어야 되는데 그런 부분이 미흡했던 것 같습니다.

두 번째 질문이 제가 잘... 뭐였죠?

<질문> ***

<답변> (최광희 한국인터넷진흥원 사이버침해대응본부장) 아, IP 스푸핑, 이제 일반적으로 해커들이 공격을 할 때 자기 공격하는 공격 원점을 노출시키지 않기 위해서 IP를 가짜 IP로 바꾸게 됩니다. 그래서 가짜 IP로 바꿔서 공격을 하면 검찰이나 조사하는 쪽이 추적하기가 어렵습니다. 그래서 이번 공격들도 IP를 스푸핑해서, 저희가 IP 스푸핑이라 부르는데 스푸핑해서 공격을 했기 때문에 지금 경찰 조사나 추적이 조금 시간이 걸리고 있는 상황인 것 같습니다.

<답변> 장시간 감사합니다.

<끝>