보안관제 20만건 잡은 LGU+, 정보 유출 정황 포착 못해

[프라임경제] LG유플러스(032640)가 인공지능(AI) 기반 보안관제로 지난해 20만건 이상의 보안 이벤트에 대응했지만, 개인정보 유출 정황이 자체 관제가 아닌 미국 보안 전문지의 발표를 통해 드러난 사실이 확인됐다.

30일 LG유플러스 '정보보호백서 2025'에 따르면 LG유플러스는 지난해 보안 오케스트레이션·자동화·대응(SOAR) 기반 통합 보안관제 체계를 통해 20만건 이상의 보안 이벤트를 처리했다. 

LG유플러스는 이번 백서가 정보보호 활동과 성과를 투명하게 공개하기 위한 것이라고 설명했다. 공격 대상이 될 수 있는 시스템과 서비스를 대규모로 점검하고, 발견된 취약점을 모두 30일 이내 조치했다고도 홍보했다.

그러나 LG유플러스가 발표한 20만건의 보안 이벤트에 지난해 8월 미국 보안 전문지 '프랙'을 통해 제기된 개인정보 유출 정황이 포함되지 않은 것으로 드러났다. 

개인정보보호위원회(이하 개인정보위)에 따르면 LG유플러스 임직원·협력사 직원의 이름, 계정 등이 포함된 텍스트 파일의 유출 여부를 점검한 결과 해당 정보가 LG유플러스의 통합 비밀번호 관리시스템(APPM)에서 실제 보유·관리하던 정보로 확인됐다.

사고 이후에는 관련 증거까지 사라진 상태다. LG유플러스는 개인정보위 조사 착수 전 APPM 서버 등의 운영체제(OS)를 재설치하거나 서버를 폐기해 정확한 유출 경위와 추가 유출 여부를 확인하기 어렵게 한 것으로 나타났다.

이에 개인정보위는 조사 착수 전 서버를 폐기해 증거를 인멸한 LG유플러스를 수사기관에 수사의뢰하기로 결정했다. 

앞서 과학기술정보통신부(이하 과기정통부)도 지난해 민관합동조사를 통해 서버 폐기 정황을 확인하고, 경찰에 수사를 의뢰한 바 있다. 현재 해당 사안은 수사 절차가 진행 중이다.

LG유플러스 관계자는 "작년 SOAR 가동 시점에는 APPM 부분이 모니터링 영역이 아니었다"며 "20만건에 프랙에서 발표한 건은 포함되지 않는다"고 설명했다.

이에 업계에서는 증거를 은닉·폐기해 조사를 방해하려는 행위에 대해 더욱 강력한 제재가 필요하다는 목소리가 나온다.

업계 관계자는 "핵심 정보 유출을 스스로 발견하지 못한 데다 사고 경위를 규명할 서버까지 없앴다면 20만건이라는 양적 실적과 AI 관제 구축이라는 보안 성과는 감경 근거가 아니라 내부통제의 실효성을 다시 검증해야 할 근거"라고 지적했다.

이어 "개인정보위와 과기정통부 등 관계 당국은 LG유플러스의 탐지 실패와 증거 인멸을 종합해 강력한 제재를 내려야 할 것"이라고 덧붙였다.

한편 개인정보위는 정보유출 가능성이 존재함에도 조사·제재 회피 목적으로 관련 증거를 은닉·폐기해 조사를 방해하는 행위에 엄정 대응할 방침이다.

개인정보위는 형사 처벌 규정 마련, 증거 은닉·폐기 시 과징금(전체 매출액의 3%) 부과, 신고포상금 지급 등 제도 개선을 추진할 계획이다.