[LG유플러스] 계정권한관리 서버 해킹 및 OS 재설치 정황_2025년 10월

LG유플러스가 해킹 제보를 받은 직후 핵심 서버의 운영체제를 재설치해 포렌식 분석이 불가능하게 했다는 의혹이 제기되었습니다. 계정권한관리시스템(APPM) 소스코드와 계정정보 4만여 건이 유출된 정황이 확인되었습니다.

□  개요 

   2025년 7월 익명의 화이트해커가 KT와 LG유플러스의 서버 침해 사실을 한국인터넷진흥원(KISA)에 제보했습니다. KISA는 이를 각사에 통보했으며, 과학기술정보통신부(과기정통부)는 8월 11일 LG유플러스에 조사결과 제출을 요구했습니다. 그러나 LG유플러스는 다음날 해당 서버의 운영체제(OS)를 재설치했습니다.
이 서버는 계정권한관리(APPM) 시스템으로 약 8,900대의 서버를 통합 관리하며, 일부는 개인정보처리 서버와 연결된 것으로 알려졌습니다. 해킹 흔적이 남은 상태에서 OS가 교체되자 ‘증거 인멸’ 혹은 ‘포렌식 방해’ 의혹이 제기되었습니다.

 

□  사고내용 요약  

    1. 회사명 : LG유플러스
    2. 사고유형 : 계정권한관리시스템(APPM) 해킹 의혹 및 포렌식 방해 논란

    3. 유출규모 :  직원 및 협력사 계정 4만여 건, 실명·ID 포함 167명 정보 노출
    4. 유출항목 : APPM 소스코드, 계정 정보, DB 일부 (공식 확인 중)
    5. 특이사항 : OS 재설치(8월 12일)로 인해 기존 로그·증거 일부 삭제 추정

□  해킹대응 타임라인  

    - 2025년 7월 18일 : 익명의 화이트해커, KT·LG유플러스 서버 해킹 제보(KISA 통보)
    - 2025년 7월 19일 : KISA, 양사에 자체 점검 요청
    - 2025년 8월 11일 : 과기정통부, LG유플러스에 조사결과 제출 요구
    - 2025년 8월 12일 : LG유플러스, APPM 서버 OS 재설치(업데이트)
    - 2025년 8월 13일 : LG유플러스, “침해 흔적 없음”으로 과기정통부에 보고
    - 2025년 8월 22일 : 과기정통부·KISA, KT·LG유플러스 모두 ‘침해 정황’ 잠정 결론
    - 2025년 8월 말 : 국가정보원, 국회 정보위원회에 해킹 관련 보고
    - 2025년 10월 20일 : 국회 과방위, LG유플러스의 ‘서버 OS 재설치 및 폐기 정황’ 공개
    - 2025년 10월 22일 : LG유플러스, KISA 통보 약 열흘 후 계정관리 서버 1대 물리적 폐기 사실 확인
    - 2025년 10월 23일 : LG유플러스, KISA에 서버 해킹 피해 정황 공식 신고 (국내 통신 3사 모두 해킹 정황 신고 완료)
    - 2025년 10월 23일 : 언론보도 통해 LG유플러스 해킹 규모 관련 추가 의혹 제기 (약 8,900여 대 서버·4만여 계정 정보 유출 가능성 보도)

□  다크웹 협박 게시글    

  **프랙(Phrack) 40주년호(2025년 8월)**에 공개된 “APT Down: The North Korea Files” 보고서 일부에서 LG유플러스 관련 침해 정황이 간접적으로 언급되었습니다.
해당 보고서에는 LG유플러스 계정권한관리시스템(APPM)과 관련된 접근 로그, 서버 인증서·계정정보 일부가 포함된 것으로 분석되며, 이는 화이트해커 제보 내용과 일치하는 부분이 있습니다.
따로 다크웹 랜섬웨어 협박글은 게시되지 않았으며, 이번 건은 프랙 보고서 상 기술자료 형태의 공개로 확인됩니다.

□  개인정보 유출 관련 안내 공지   

    공식 해명 또는 사과문 게시 없음 (언론 대응만 진행)
 
□  대응내역  

    -  LG유플러스 : “OS 업데이트 전후로 각각 이미징 후 KISA에 제출했으며, 현재 조사에 성실히 임하고 있다”고 해명
    -  과기정통부·KISA : 포렌식 자료 확보 및 서버 폐기 여부 조사 중, 수사 의뢰 검토
    -  국가정보원 : 관련 내용을 국회 정보위원회에 직접 보고

□ 재발방지대책(권고사항)   

    1. 기술적 조치
       - 핵심 관리서버(APPM 등)에 대한 접근통제 강화 및 포렌식 보존 정책 수립
       - 운영체제 변경·업데이트 시 포렌식 이미지 백업 의무화
       - 계정·권한 시스템의 로그 외부 백업 및 무결성 검증체계 마련

    2. 관리적 조치
       - 보안사고 대응 시 변경관리(Change Management) 절차 준수 의무 강화
       - 포렌식 방해 가능 행위에 대한 내부 감사 및 책임체계 확립
       - 외부 해킹 제보 수신 시 KISA·과기정통부 공동조사 협력 체계 강화

□  관련기사(출처)  

• LG유플러스, 해킹 의혹 직후 서버 OS 교체…흔적 지웠나 - 디일렉
• KT에 이어 LG유플러스도…해킹 의혹 일자 서버 폐기 의혹 - 전자신문
• LG유플러스도 해킹 정황 서버 '무단 폐기' 의혹 - 뉴스1
• 해킹 서버 OS 업데이트한 LG유플러스···포렌식 분석 방해 의혹 - 뉴스웨이

 

감사합니다.