[시시비비]'딸울음 뒤 그놈'…LGU+ 정보 유출이 만든 괴물

정보 유출 개인에 알리지 않고 외부엔 늑장 공지
대리점선 기기 교체 장사에 활용

"방에 다른 사람이…. 내 방에…모르는 사람이야, 한국 사람이야."

열일곱 딸의 목소리는 공포에 질려 흐느끼고 있었다. 울음 섞인 목소리도 잠시, 엄마가 연신 묻자 수화기 너머 낯선 남자의 목소리가 들렸다. 달러를 요구했다. 전화를 끊지 말고, OO역으로 이동하라고 했다.

식은땀이 흐르고, 다리에 힘이 풀렸다. 정신을 붙잡았다. 어학 캠프에 참가하기 위해 어제 출국한 딸의 안부를 불과 몇시간 전에 확인했었는데…국제전화 발신자 표시에는 딸의 번호가 뚜렷하게 찍혀있었다. 의심의 여지가 없었다.

운이 나빴던 것인지, 좋았던 것인지 5분 만에 통화가 끊겼다. 그 틈에 딸과 동행한 유학원 직원과 연락이 닿았다. 현지시간은 자정. 딸은 무사했다.

10분 정도 짧은 시간에 지옥과 천당을 오갔다. 딸의 안부를 확인했지만, 엄마의 몸은 여전히 부들부들 떨렸다. 엄마 A씨는 딸의 안부를 확인하고 나서야 LG유플러스의 고객 개인정보 유출사건이 있었다는 걸 알았다. 2차 피해를 막기 위해 조회해보니 A씨의 개인정보가 유출됐다는 공지를 확인할 수 있었다.

A씨가 보이스피싱을 당한 건 지난 11일 오후다. 고객 번호, 이름, 주소, 암호화된 주민등록번호, 암호화된 비밀번호, 이용상품명, 심지어 생년월일과 전화번호, 웹 아이디, 이메일 주소까지 유출됐지만 LG유플러스로부터 아무런 연락도 받지 못했다.

개인정보 보호 의무를 소홀히 했다는 근본적인 문제가 LG유플러스의 첫 번째 잘못이라면, 이를 고객들에게 적극적으로 알리지 않은 게 두 번째 잘못이다. A씨는 한바탕 난리를 치른 후 신문 기사를 찾아보고, 고객정보 유출 여부를 조회하고 나서야 자신의 정보가 몽땅 털렸다는 것을 알았다.

LG유플러스가 홈페이지를 통해 고객 정보 유출을 공지한 것은 전날(10일) 오후다. 홈페이지 공지전에도, 후에도 개인정보 유출 피해를 본 고객들에게 별도로 문자 메시지나 개인 이메일로 이를 알리지 않았다. 언론 해명과 실제는 달랐다. 자신의 개인정보가 몽땅 유출됐다는 연락을 미리 받았더라면 A씨는 ‘낯선 그놈’의 전화를 받는 순간 보이스피싱을 의심할 수 있었을 것이다.

늑장 공지가 세 번째 잘못이다. LG유플러스는 한국인터넷진흥원으로부터 정보 유출 사실을 통보받은 지 8일이나 지나 외부에 공지했다.

해킹당한 유심칩을 바꾸러 간 이날 LG유플러스 대리점에서는 당황한 A씨에게 기기 변경을 권유했다. "보이스피싱 피해자 대부분은 기기를 바꾼다"는 게 LG유플러스의 설명이었다. A씨가 기존에 쓰던 휴대폰을 며칠 만 더 유지하면 위약금이 발생하지 않는다는 사실도 알려주지 않았다. 자사의 개인정보 유출로 피해를 본 고객을 유인해 단말기 장사를 한 것이다.

LG유플러스는 피해 발생 비상조치를 제대로 실행하지도 않았다. 18만명의 고객 정보가 유출됐고, "고개 숙여 사과한다"던 그날에도 LG유플러스 114 상담원과는 일과시간에만 통화할 수 있었다. 고객정보보호센터 직원과는 오후 9시까지만 통화가 가능했다.

개인정보를 유출해도, 피해자인 고객들에게 이를 제대로 알리지 않아도, 불안해하는 고객을 상대로 다시 ‘폰’을 팔아 주머니를 채워도 "죄송" 한 마디와 몇백만원의 과태료로 때우는 솜방망이 처벌이 계속되는 한 이러한 일은 반복될 것이다.

김민진 경제금융부문 조사팀 콘텐츠매니저

김민진 경제금융부문 조사팀 콘텐츠매니저 enter@asiae.co.kr