비밀번호 평문 노출·관리자용 백도어 등 8개 취약점 드러나
이해민 "LG유플러스 보안 불감증 심각…철저 조사 필요"
(서울=연합뉴스) 조성미 기자 = LG유플러스[032640]가 해킹 피해를 인정하지 않다가 당국에 피해 사실을 신고하겠다고 입장을 바꿨다.
홍범식 LG유플러스 대표는 21일 국회 과학기술정보방송통신위원회 정보통신기술(ICT) 분야 산하기관 국정감사에서 이해민 조국혁신당 의원이 한국인터넷진흥원(KISA)에 신고하겠느냐고 묻자 "그렇게 하겠다"고 대답했다.
홍 대표는 "사이버 침해 사실을 확인한 이후에 신고하는 것으로 이해하고 있었는데 여러 혼란과 오해가 발생하고 있어 조금 더 적극적으로 검토할 예정"이라고 부연했다.
LG유플러스는 현재까지 조사에서는 침해 사실이 발견되지 않았지만 국민 염려와 오해를 해소하는 차원에서 관련 부처와 협의해 추가 절차를 밟도록 하겠다는 의미라고 설명했다.
이 의원은 "LG유플러스가 비밀번호를 암호화하지 않고 소스코드 안에 그대로 노출했다는 것은 금고 바깥에 비밀번호를 써서 쪽지로 붙여 놓은 꼴"이라며 "기술적인 문제 이전에 심각한 보안 불감증"이라고 비판했다.
이 의원에 따르면 LG유플러스가 자체적으로 계정 권한 관리 시스템을 분석한 결과 모바일로 시스템에 접속 시 2차 인증 단계에서 숫자 '111111'을 입력하고 특정 메모리 값을 변조하면 시스템에 접근할 수 있는 등 모두 8개의 보안 취약점이 드러났다.
웹페이지에는 별도 인증 없이 관리자 페이지에 접근할 수 있는 백도어가 있었고 소스코드에는 백도어에 접속할 수 있는 비밀번호 3자리, 계정 관리에 필요한 비밀번호가 암호화되지 안은 채 평문으로 노출돼 있었다.
그는 "LG유플러스가 서버 운영체계(OS)를 재설치하고 이미지를 뜬 것을 제출했는데 (재설치 전) 상황 그대로가 이미지에 담겼다고 어떻게 보장을 할 수 있는지가 문제"라며 "이 과정에서 보안사고 매뉴얼대로 했는지 조사가 꼭 필요하다"고 강조했다.
최민희 과방위원장도 "LG유플러스가 지난 달 보안 용역을 의뢰해 해킹 의혹을 해명하겠다고 보고했다"며 "KT 서버 폐기로 조사에 난항을 겪는 것을 뻔히 알면서 남몰래 해킹서버를 폐기하고 보안 용역 의뢰를 보고한 것은 정부와 국회를 기만한 것"이라고 질타했다.
Copyright ⓒ 연합뉴스 무단 전재 및 재배포 금지
본 콘텐츠는 뉴스픽 파트너스에서 공유된 콘텐츠입니다.
