[기획] LG유플, 15년 묵은 보안 결함에 실적 발목 잡히나

[그래픽=황민우 기자]

비용 절감을 위해 LG유플러스가 사업 구조 재편을 가속하는 가운데 악재를 만났다. 기초적인 보안 설계 결함이 드러나면서 사고 수습에만 1000억원 이상이 투입될 전망이다.

LG유플러스는 이번 조치가 정보 유출에 따른 사후 대응이 아닌 ‘선제적 보안 강화’라는 입장이다. 하지만 사실상 내부 결함을 뒤늦게 수습하는 측면도 있음을 부정하긴 어렵다.  

다행히 LG유플러스는 보안 관련 예산을 사고 전 3배 가량 증액한 상황이지만 이외 추가적인 자금 부담이 불가피하다. 유심 교체만으로 드는 비용이 1000억원 가량으로 예상된다. 

---

LGU+, 수익성 개선 위한 ‘군살 빼기’

---

LG유플러스는 최근 수익성 악화를 방어하기 위해 저수익 플랫폼과 비핵심 사업을 정리해 왔다. 지난 2024년 영업이익이 8631억원으로 전년 대비 13.5% 하락하는 등 위기감이 커지자 비용 효율화에 착수했다.

LG유플러스는 인공지능(AI)과 데이터센터 등 신사업 역량을 강화하면서 사업 구조 재편에도 속도를 냈다. 통합 스포츠 플랫폼 ‘스포키’, SNS 플랫폼 ‘베터’ 등 수익화가 더딘 서비스를 잇달아 종료하거나 축소하며 선택과 집중을 택했다.

이 같은 체질 개선에 힘입어 지난해 LG유플러스 매출과 영업이익은 동반 상승했다. 하지만 경영 지표 개선 성과를 확인한 직후인 지난달 17일 IMSI 설계 결함 문제가 수면 위로 떠올랐다. 보안 취약점에 대한 지적이 잇따르자 LG유플러스는 1100만명에 달하는 전 고객을 대상으로 유심 무상 교체와 시스템 전면 개편안을 내놓으며 수습에 나섰다.

---

15년간 방치한 초보적 설계 결함

---

LG유플러스. [그래픽=황민우 기자]

LG유플러스 가입자 식별번호(IMSI) 설계 결함은 지난 2011년 LTE 상용화 단계로 거슬러 올라간다. IMSI는 단말기 유심칩에 저장된 15자리 고유 번호로 통신사 가입자를 식별하는 핵심 정보다. 보안을 위해 무작위 숫자인 ‘난수’를 섞어 암호화하는 게 국제 표준이지만 LG유플러스는 사용자 전화번호와 연동된 번호 조합을 그대로 사용했다. SK텔레콤과 KT 등 경쟁사들이 국제 표준 규격에 맞춰 정보를 암호화할 때 LG유플러스는 구형 설계 방식을 15년 넘게 고수했다.

이 같은 설계 방식은 최근 보안 점검 과정에서 취약점이 제기되면서 뒤늦게 드러났다. 기술적 한계라기보다 기초적인 보안 설계 허점을 장기간 방치했다는 점에서 LG유플러스는 관리 부실 지적을 피하기 어렵게 됐다.

앞서 LG유플러스는 개인정보 유출 사고 이후 보안 투자 예산을 연간 1000억원으로 증액하겠다고 공언하며 재발 방지를 약속했다. 하지만 15년 넘게 기초 보안을 준수하지 않은 사실조차 인지하지 못한 채 뒤늦게 시스템 개편에 착수하면서 대규모 비용이 발생하는 후폭풍은 예정된 수순이 됐다. 

---

수습 비용 부담 가중…수익성 개선 흐름 ‘변수’

---

LG유플러스는 전 가입자 대상 무상 교체와 시스템 개편에 따르는 재무적 부담을 피할 수 없을 전망이다. 업계에서는 유심 교체에 1개당 7700원이 소요된다고 보고 있어 단순 계산 시 비용은 최대 1000억원대에 달할 것으로 예상된다. 다만 회사 측에서 정확한 원가를 공개하지 않았고 유심 교체가 아닌 업데이트로 갈음되는 경우도 있다.

하지만 유심 단가 외에 추가적인 제반 비용 지출도 무시할 수 없다. LG유플러스가 고수한 구식 설계 방식을 뒤늦게 보완하기 위해 전국 매장 인력은 물론 본사 행정력까지 노인복지관 방문과 군부대 택배 발송 등 사후 조치 업무에 대거 투입되고 있기 때문이다.

결국 이 같은 일회성 비용은 LG유플러스가 지난해 영업이익 8921억원을 기록하며 수익 개선을 이룬 성과가 이내 꺾이는 실적 하락 요인으로 작용할 가능성이 크다. 미래 투자에 쓰여야 할 재원과 인력이 과거 보안 체계 보강에 우선 투입될 수 있게 되면서 LG유플러스는 경영 효율화 성과가 부실 수습 비용으로 희석돼버릴 수 있는 상황에 놓였다.

이와 관련 LG유플러스 관계자는 기존 보안 투자 규모를 넘어선 추가 비용 부담이 발생해 실적에 영향을 줄 수 있는 게 아니냐는 더리브스 질의에 “고객 보호와 보안 강화를 위해 필요한 조치라면 관련 비용은 감수해야하는 게 맞다”라고 답했다.

다만 보안과 관련해 “현재 가입자 식별 체계(IMSI)는 국제 표준에 부합하는 방식이며 해당 값 단독으로는 유출되더라도 보안상 위험은 없다”고 이 관계자는 설명했다.

마선주 기자 [e-mail]