[이데일리 김현아 기자] LG유플러스(032640) IMSI(가입자 식별번호) 논란의 본질은 복제폰 공포가 아니다. 전화번호가 반영된 가입자 식별 구조가 특정인을 식별하고 동선을 추적하기 쉽게 만들었다는 점이 핵심이다. 이용자 눈에 보이지 않아야 할 통신망 내부 식별값이 오히려 감시의 단서가 될 수 있는 구조였다는 뜻이다. 이번 사안이 단순한 보안 이슈를 넘어 프라이버시 리스크로 번지는 이유도 여기에 있다.

<이미지를 클릭하시면 크게 보실 수 있습니다>

복제보다 더 무서운 건 ‘추적 가능성’

IMSI는 통신망 안에서 가입자를 구분하는 내부 식별번호다. 원칙적으로는 외부에서 포착되더라도 특정 개인과 곧바로 연결되지 않아야 한다. 하지만 값이 충분히 무작위화되지 않고 전화번호와 연결 가능한 구조라면 이야기가 달라진다. 특정인의 전화번호를 알고 있는 제3자가 현장에서 포착한 IMSI를 공개된 번호와 대조해 실제 인물을 더 쉽게 특정할 수 있기 때문이다.

김승주 고려대 정보보호대학원 교수는 이번 사안의 핵심 위험을 복제가 아니라 추적으로 봤다. 그는 “IMSI는 일종의 로그인 아이디에 가까운 값이어서 이것만으로 시스템 복제가 이뤄지는 것은 아니지만, 값이 예측 가능해지면 특정인의 동선을 더 쉽게 파악할 수 있다”고 설명했다. 전화번호가 공개된 공직자, 정치인, 유명 인사일수록 상대적으로 더 취약할 수 있다는 얘기다.

“복제폰 공포는 과장…위험은 현실”

단말기 복제 공포는 다소 과장된 측면이 있다는 분석이다. 화이트해커 출신들이 설립한 단말기 보안업체 솔더포레스트 관계자는 “단말 복제 수준의 악용을 하려면 IMSI 외에 단말기 고유식별값인 IMEI 같은 추가 정보가 더 필요하다”고 설명했다. IMEI는 단말 내부에 저장된 값이어서 실제 기기에 물리적으로 접근하거나 별도 해킹이 뒤따라야 한다는 것이다.

반면 추적 위험은 훨씬 현실적이라는 게 전문가들의 시각이다. 같은 관계자는 “(가짜 기지국격인) IMSI 캐처로 LG유플러스 가입자의 IMSI 값을 따면 그 사람의 전화번호가 나오는 건 맞다”고 설명했다. IMSI 하나만으로 휴대전화를 바로 복제할 수 있다는 식의 공포는 과장에 가깝지만, 특정인이 어디에 있었고 어떤 동선으로 움직였는지를 파악하는 데 악용될 가능성은 더 크다는 뜻이다.

LG유플러스 유심 교체 화면. 사진=이데일리 DB

<이미지를 클릭하시면 크게 보실 수 있습니다>

영국선 군사 추적, 프랑스선 범죄 악용

해외에서는 IMSI 캐처가 실제 감시와 범죄에 활용된 사례도 드러났다. 영국에서는 러시아 연계 조직이 독일 내 미군기지에서 훈련 중이던 우크라이나 군인들의 휴대전화를 추적하기 위해 IMSI 캐처 사용을 모의한 정황이 법원에서 공개됐다. 프랑스 파리에서는 차량형 IMSI 캐처를 이용해 주변 휴대전화에 피싱 문자를 발송한 사건이 재판에 넘겨졌다.

이런 사례는 IMSI 캐처가 더 이상 영화 속 장비가 아니라는 점을 보여준다. 군과 정보 영역뿐 아니라 민간 범죄에도 악용될 수 있는 현실적 도구라는 의미다. 결국 이 장비는 불특정 다수를 겨냥한 무차별 범죄보다 공직자, 정치인, 기업 최고경영자, 연예인처럼 추적 가치가 큰 인물을 노린 표적 감시에 더 위협적이라는 지적이 나온다.

LG유플러스, 4월 13일부터 전면 보완

논란이 커지자 LG유플러스는 전면적인 보완책을 내놨다. 회사는 4월 13일부터 강화된 이동통신 보안체계를 가동하고, 전 고객을 대상으로 유심 무상 교체와 재설정을 순차적으로 진행하겠다고 밝혔다. 대상은 LG유플러스 이동전화 가입자 전원이며, 스마트워치와 키즈폰, LG유플러스 망을 사용하는 알뜰폰 가입자도 포함된다.

핵심 대책은 두 가지다. 먼저 올해 상용하는 5G 단독모드에서는 IMSI를 암호화해 전달하는 SUCI 기술을 100% 적용한다. 여기에 기존 IMSI 체계도 가입자코드 부분에 난수를 적용한 새 구조로 바꾼다. 고객이 유심을 교체하거나 재설정하면 자동으로 새 체계가 반영되는 방식이다.

LG유플러스는 지난해 6월부터 신규 IMSI 체계의 설계와 개발, 상용 검증을 진행해 왔다고 밝혔다. 또 내부 정보보호 체계를 점검하는 과정에서 기존 임시 체계에서는 유심 포맷 등 일부 조치가 어려울 수 있음을 확인했고, 이를 계기로 보안 체계 개선을 추진했다고 설명했다.

<이미지를 클릭하시면 크게 보실 수 있습니다>

늦었지만 필요한 조치…책임론은 남아

이상엽 LG유플러스 CTO는 “기존 IMSI 체계도 국제 표준(3GPP2)에 맞춰 운영돼 왔고, 고객 인증 때 암호화된 키 값을 함께 확인해 보안사고 가능성은 낮다”고 밝혔다. 다만 “5G 단독모드에서는 IMSI 암호화를 적용해 보호 수준을 더 높이겠다”고 했다.

반면 화이트해커들이 만든 단말기 보안업체 솔더포레스트 관계자는 “초기 기술 한계를 감안하더라도 3G에서 LTE로 넘어오는 과정에서 기존 설계를 현재 국제표준(3GPP)대로 바로잡지 않은 점은 분명한 약점”이라고 지적했다.

LG유플러스는 고객 불편을 줄이기 위해 예약 시스템과 원격 재설정도 병행할 계획이다. 회사는 새 보안체계 적용 과정에서 고객 불편을 최소화하겠다고 밝혔다.

결국 이번 논란은 복제폰보다 특정 개인의 추적 가능성에 더 무게가 실린다. LG유플러스의 유심 교체와 IMSI 난수화, 5G 암호화 조치가 이용자 불안을 얼마나 빠르게 잠재울지가 관건이다.