뉴니커, 혹시 최근에 LG유플러스에서 "유심 업데이트·교체 안내" 문자 받았나요? 문자를 받은 사람들 사이에서 “무슨 보안 사고라도 터진 거야?” 하는 반응이 쏟아지고 있는데요. 무슨 일인지 같이 살펴볼게요.

무슨 일이야?

LG유플러스가 IMSI(국제이동가입자식별정보)를 만드는 방식에 문제가 있다는 게 밝혀진 거예요. IMSI는 유심에 부여되는 고유 번호로, 단말기가 통신망에 접속할 때 “나 이 사람이에요” 알리는 일종의 로그인 ID 같은 역할을 하는데요. 보통은 해커가 이 번호를 가로채도 개인을 특정할 수 없도록 난수(무작위 숫자)로 설계해요. 그런데 LG유플러스는 2011년 LTE 도입 초기부터 지금까지 가입자의 실제 휴대전화 번호를 조합해 IMSI를 부여해 왔다고. 다른 통신사들이 난수 방식을 쓴 것과 정반대였던 거예요.

그럼 어떤 문제가 생기는데?

IMSI 캐처(주변 휴대전화의 IMSI를 수집하는 장비)를 쓰면 그 사람의 위치를 확실하게 파악할 수 있어요. 보다 정확히는 한 이용자가 특정 시점에 특정 기지국 범위 내에 있었는지를 확인할 수 있는 건데요. 지난 2월 프랑스에서는 차량형 IMSI 캐처로 수집한 정보를 스미싱에 악용한 사건이 재판에 넘겨지기도 했어요. LG유플러스처럼 전화번호 기반으로 IMSI를 설계하면, 번호를 알아낸 것만으로도 개인 식별이 훨씬 쉬워지는 거예요.

지금 상황은 어때?

LG유플러스는 유심 업데이트 및 교체를 원하는 고객을 대상으로 무료 업데이트·교체를 해주기로 했어요. 이를 위해 지난 3월 30일 안내 문자를 발송하고, 8일 매장 방문 예약 시스템을 오픈했는데요. 사전 방문 예약 첫날인 오늘(9일) 5만 5500여 명이 신청했다고. 유심 업데이트·교체를 받을 수 있는 대상은 최대 1750만 명으로, LG유플러스 가입자 1100만 명 + 스마트워치 등 세컨드 디바이스 사용자 150만 명 + LG유플러스 망을 쓰는 알뜰폰 가입자 400~500만 명을 모두 합한 숫자예요.

내가 업데이트·교체 대상인지 여부는 U+one 앱이나 LG유플러스 홈페이지에서 확인할 수 있어요. 대부분은 앱·홈페이지로 소프트웨어 업데이트만 하면 되지만, 오래된 유심을 쓰고 있거나 자급제 폰·eSIM 사용자는 매장을 직접 방문해 새 유심으로 교체해야 해요. 유심을 바꿔도 카카오톡 대화, 은행 앱, 연락처는 그대로 유지되지만, 금융인증서나 PASS 앱 등은 재다운로드·재등록을 해야 한다고. 유심 교체는 오는 13일부터 진행될 예정이에요.

앞으로 어떻게 될까?

LG유플러스는 “IMSI 단일 정보만으로는 보안 사고가 일어나기 어렵다”는 입장이지만, 고객들의 걱정을 감안해 유심 교체를 지원하기로 했다고 밝혔어요. 과기정통부도 “법에 규정이 없어 위법이라 할 수 없다”면서도, 모든 기기의 유심을 교체해야 한다는 판단을 내렸다고. LG유플러스는 전사 고객케어상황실을 가동해 유심 재고와 매장 운영 상황을 점검하고, 해외 체류자 등 방문이 어려운 고객을 위한 지원책도 마련 중이에요.