LG유플러스 개인정보 유출·디도스 장애 사태

2023년 1월 초 해커가 불법거래 사이트(다크웹)에 LG유플러스 고객 개인정보 약 60만 건을 공개하면서 유출 사태가 불거졌다. 유출 항목에는 휴대전화번호, 성명, 주소, 생년월일, 이메일, 아이디, 유심 고유번호 등 26개 항목이 포함됐다. 회사는 초기에 정확한 유출 규모와 경로를 특정하지 못했다. 이용자들은 명의도용과 스미싱 피해 가능성에 불안을 호소했다. 정부는 곧바로 한국인터넷진흥원(KISA)과 합동 조사에 착수했다.

2023년 1월 29일 새벽부터 LG유플러스 유선인터넷과 VOD, 070 인터넷전화에 잇단 장애가 발생했다. 이날 오전 3시, 오전 5~6시, 오후 6시경 여러 차례 통신이 끊겼다. 원인은 해외와 타사 IX를 통해 게이트웨이·코어 라우터를 겨냥한 분산서비스거부(디도스) 공격으로 분석됐다. 장애 여파로 온라인 서비스와 결제, 방송 중계까지 차질을 빚었다. 개인정보 유출에 이어 통신 장애까지 겹치며 이용자 신뢰가 크게 흔들렸다.

2023년 2월 4일 오후 5시경부터 또다시 유선인터넷 장애가 발생해 일부 지역에서 서비스가 마비됐다. 이번 공격은 홈·기업 고객단의 엣지 라우터를 마비시키는 방식이었다. 장애 여파로 아프리카TV에서 중계되던 2023 LCK 스프링 경기가 약 25분간 중단됐다. 고속버스 통합예매 전산망 코버스(KOBUS)도 20분가량 업무가 멈췄다. 1월 29일과 2월 4일에 걸쳐 총 5회, 약 120분간 장애가 이어졌다.

개인정보위와 KISA의 분석 결과 실제로 유출이 확인된 개인정보는 중복 제거 시 총 29만7117건으로 확정됐다. 유출된 정보는 휴대전화번호·성명·주소·생년월일·이메일·아이디·유심 고유번호 등 26개 항목에 이르렀다. 조사 과정에서 LG유플러스의 상용 소프트웨어 상당수가 이미 단종되거나 기술지원이 종료된 상태였음이 드러났다. 방화벽·침입방지시스템·웹방화벽 등 기본 보안장비가 미설치되거나 정책이 제대로 적용되지 않은 사실도 확인됐다. 정부는 보안 투자와 인력 부족을 총체적 원인으로 지목했다.

2023년 4월 LG유플러스는 반복된 인터넷 장애에 대한 보상안을 내놨다. 개인 고객에게는 평균 1041원, PC방 등 일부 사업자에게는 최대 71만 원까지 보상하기로 했다. 전체 보상 규모는 최대 400억 원 안팎으로 추산됐다. 회사는 약관상 보상 기준의 최대 10배 수준으로 배상하겠다고 밝혔다. 그러나 개인 고객 보상액이 지나치게 적다는 비판도 제기됐다.

2023년 7월 12일 개인정보보호위원회는 전체회의를 열고 LG유플러스에 과징금 68억 원과 과태료 2700만 원을 부과했다. 이는 당시 개인정보위가 국내 기업에 부과한 과징금 중 최고액이었다. 위원회는 개인정보 안전조치 의무 위반을 핵심 근거로 제시했다. LG유플러스는 보안 투자를 대폭 확대하겠다는 재발방지 대책을 내놨다. 이 사건은 통신사의 보안 투자 부실이 대규모 유출과 장애로 이어질 수 있음을 보여준 대표 사례로 남았다.