배경훈 "고의 증거인멸·조사 방해 밝혀지면 위약금 면제 요청"
홍관희 CISO, 원본 보존 "일부 미흡"...포렌식 자료 질문엔 "수사 중"
"숨기기보다 솔직하게"
홍범식 LG유플러스 사장이 올해 초 임직원에게 강조한 원칙이다. 보안·품질·안전 등 회사 전 영역에서 문제를 드러내고 함께 해결하자는 주문이었다.
해킹 은폐 의혹으로 경찰 수사를 받고 있는 LG유플러스는 6일 국정감사에서 서버 원본 보존에 일부 미흡한 점이 있었다고 인정했다. 위약금 면제 여부에는 확답하지 않았다.
"위약금 면제" 꺼낸 정부...LG유플러스는 확답 유보
배경훈 부총리 겸 과학기술정보통신부 장관은 이날 국회 과학기술정보방송통신위원회 국정감사에서 LG유플러스의 해킹 은폐가 사실로 밝혀지면 가입자 위약금을 면제해야 하느냐는 조경태 국민의힘 의원의 질문에 "고의로 증거인멸, 여러 가지 조사 방해 이런 것들이 밝혀지면 당연히 위약금 면제를 요청해야 한다"고 말했다.
배 부총리는 "중대한 서비스 장애나 계약상 핵심 의무 위반 사례가 적발되면 위약금 면제가 시행되도록 정부도 적극적으로 나서겠다"고 밝혔다. 경찰 수사 상황에 대해서는 아직 진행 중이라고 답했다.
증인으로 출석한 홍관희 LG유플러스 정보보안센터장(CISO)은 약관상 회사 귀책사유에 해당하면 위약금을 면제할 것이냐는 이훈기 더불어민주당 의원의 질문에 "이용자에 대한 보호조치가 필요한 부분에는 최대한 할 수 있도록 하겠다"고 말했다. 면제를 수용하겠다는 답변은 하지 않았다.
이날 질의는 침해 정황을 통보받은 뒤에도 서버 운영체제(OS)를 재설치한 경위에 집중됐다. 한준호 더불어민주당 의원은 한국인터넷진흥원(KISA)이 지난해 7월 19일 침해 정황을 통보했는데, 이후인 8월 12일 계정관리시스템(APPM) 관련 서버의 OS 작업이 이뤄졌다고 지적했다.
한 의원이 OS 재설치 전 원본을 보존하는 것이 기본 아니냐고 묻자 홍 센터장은 "원본상태 보존할 수 있는 범위 내에서 조치를 취했다고 생각한다"면서도 "일부 미흡한 부분이 있었다"고 답했다.
제출 자료가 단순 백업인지, 디스크 전체를 복제한 포렌식 이미지인지에 대한 질문에는 "현재 수사 중인 사항이라 말씀드리기 어렵다"고 말했다. 이어 "포렌식할 수 있는 자료로 제출한 것으로 알고 있다"고 설명했다. 이미지 생성 시점은 KISA 통보 이후로 알고 있다고 답했다.
정부 조사에서는 자료 보존 문제가 유출 경로 규명의 한계로 남았다. 지난해 12월 민관합동조사단 발표에 따르면 APPM과 연결된 정보는 실제 LG유플러스에서 유출된 것으로 확인됐다. 그러나 관련 서버의 OS 재설치와 폐기로 침해 흔적과 공격 경로를 확인하는 데 제약이 발생했다.
조사단은 협력사 직원 노트북에서 APPM 서버로 이어지는 경로도 조사하려 했으나, 경로상의 주요 서버 등이 지난해 8월 12일부터 9월 15일 사이 OS 재설치 또는 폐기돼 조사가 불가능했다고 밝혔다. 과기정통부는 침해 정황 통보 이후 이뤄진 조치를 부적절하다고 판단해 지난해 12월 9일 위계에 의한 공무집행방해 혐의로 경찰에 수사를 의뢰했다.
해킹 통보부터 신고까지 96일...이사회 보고는 공시상 미확인
홍 사장이 투명한 문제 제기를 주문한 것은 수사 의뢰 이후다. 그는 올해 1월 2일 신년 메시지에서 '신뢰'를 핵심 가치로 제시하며 "숨기기보다 솔직하게 하고 탓하기보다는 함께 해결하는 용기가 신뢰에서 비롯된다"고 말했다. 이 원칙을 적용할 영역으로 보안과 품질, 안전 등을 직접 꼽았다.
회사는 이사회 보고 체계도 강조해왔다. 지난 7월 정보보호백서 발간을 알리면서 법 개정 이전부터 정보보호 이사회 보고 체계를 운영했다고 밝혔다.
정부가 밝힌 KISA의 최초 통보일은 지난해 7월 19일, LG유플러스의 침해사고 신고일은 같은 해 10월 23일이다. 두 시점 사이에는 96일의 간격이 있다.
LG유플러스 기업지배구조보고서에 따르면 최초 통보 이틀 뒤인 지난해 7월 21일 이사 7명 전원이 참석한 이사회가 열렸다. 자사주 소각과 매입 신탁계약, 중간배당, IDC 투자를 승인하고 경영실적과 이사회 내 위원회 결과를 보고받았다.
공개된 해당 회의 안건명에는 이번 침해사고가 별도로 기재돼 있지 않다. 다른 안건이나 별도 경로로 보고됐는지, 대표이사와 이사회가 언제 어떤 내용을 전달받았는지는 이 공시만으로 확인되지 않는다.