[단독] LG유플러스, 폐기 의혹 서버에서 보안 취약점 무더기 확인

KT에 이어 LG유플러스도 해킹 정황이 있는 서버를 무단폐기했다는 의혹이 제기된 가운데, 문제의 서버에서 보안 취약점이 다수 확인된 것으로 파악됐습니다.

국회 과학기술정보방송통신위원회 소속 이해민 의원이 LG유플러스로부터 받은 자료에 따르면, LG유플러스가 자체적으로 계정 권한 관리 시스템을 분석한 결과, 시스템에 모바일 접속 시 2차 인증 단계에서 숫자 '111111'을 입력하고 특정 메모리 값을 변조하면 시스템에 접근할 수 있는 등 모두 8개의 보안 취약점이 드러났습니다.

웹페이지에는 별도 인증 없이 관리자 페이지에 접근할 수 있는 백도어가 존재했고, 소스코드에는 이 백도어에 접속할 수 있는 비밀번호 3자리, 또 계정 관리에 필요한 비밀번호도 암호화되지 안은 채 평문으로 노출돼 있었된 것으로 확인됐습니다.

문제의 서버는 국내 보안업체 '시큐어키'가 만든 '계정 권한 관리 시스템'으로, 통신사 서비스 이용에 필요한 각종 인증을 통합 관리하는 역할을 하고 있습니다.

지난 8월 미국 보안 전문지 '프랙'은 해킹 그룹 '김수키'가 유플러스의 계정 권한 관리 시스템에서 소스코드를 탈취해 8천여 대의 서버 정보와 4만여 개의 계정 정보, 167명의 직원 ID와 실명 등을 빼돌렸다고 보도했습니다.

이해민 의원은 "사실 8가지 취약점 중 하나만 있어도 문제인데, 이 정도면 해커를 위한 레드카펫을 깔아둔 수준"이라며 "기술적 문제 이전에 심각한 보안 불감증"이라고 지적했습니다.

이 의원은 이어 “시큐어키의 해당 프로그램을 LG유플러스 외에도 다수의 기업이 사용하고 있다"며 주무부처인 과학기술정보통신부의 적극적인 조사를 촉구했습니다.

시큐어키는 지난 7월 31일 한국인터넷진흥원, KISA에 소스코드 및 데이터 유출 사실을 침해사고로 신고한 반면, LG유플러스는 "침해사고 정황이 없다"며 아직 공식 신고를 하지 않은 상태입니다.