글로벌 개발 커뮤니티인 깃허브(GitHub)에서 LG유플러스(032640) 가입자들이 보이스피싱 및 스미싱 위험에 노출돼 있다는 주장이 제기됐다. LG유플러스는 국제가입자식별번호(IMSI)에 전화번호를 연동한 것으로 드러나면서 지난 13일부터 유심 교체 서비스를 진행하고 있다.
지난 15일 한 익명의 이용자는 깃허브에 가짜 기지국 역할을 하는 IMSI 캐처를 활용해 LG유플러스 가입자의 IMSI를 수집하고 이를 통해 전화번호를 찾아내는 과정을 담은 시연 영상을 올렸다.
이 이용자는 "한국의 주요 통신사 중 하나인 LG유플러스와 관련된 심각한 안보 상황을 조명하고자 한다"면서 "현재 '보안 문제'로 인해 전체 사용자에게 유심 대량 교체를 제공하고 있지만, 실질적인 설명을 제공하지 않고 있다. 그 결과 대부분의 사용자는 자신이 얼마나 취약한지 전혀 모른다"고 밝혔다.
그는 LG 유플러스가 IMSI를 전화번호와 동일하게 설정한 결과 간단한 IMSI 캐처를 사용하면 해커가 인근 모든 단말의 IMSI(전화번호)를 수집할 수 있다고 밝혔다. LG유플러스 가입자들은 표적형 보이스피싱·스미싱에 노출돼 있고, 해커가 특정인의 전화번호를 알고 있다면 위치까지 추적할 수 있다는 것이다.
그는 "LG유플러스는 모호한 기업 용어에 숨지 말고 고객에게 투명한 설명을 제공해야 한다"며 "한국 정부가 개입해 LG유플러스에 책임을 물어야 한다"고 밝혔다.
이에 대해 LG유플러스는 "해당 시연 영상 IMSI 캐쳐를 활용해 IMSI 값을 확보하고, 이 값의 일부가 휴대폰 번호와 동일하다는 것을 확인하는 것일 뿐이고, 확보한 IMSI 값을 통해 어떤 위험성에 노출될 수 있는지를 보여주는 영상은 아니다"라고 밝혔다.
이어 "IMSI 캐쳐를 활용해 휴대폰 IMSI 값을 확보하는 것은 특정 통신사와 상관없이 가능한 것으로, LG유플러스의 경우 IMSI 값에 휴대폰 번호가 사용되었다는 것일 뿐 다른 정보들이 유출된 것이 아니기 때문에 상대적으로 위험성이 낮다"라고 설명했다.