[LG유플러스] 익시오(Xio) 통화정보 일시 노출_2025년 12월

익시오 서비스 운영 개선 작업 중 캐시 설정 오류로 인해 고객 36명의 통화정보가 다른 이용자 101명에게 일시 노출된 정황이 확인돼, LGU+가 개인정보보호위원회에 자진 신고함.

□  개요 

   2025년 12월 2일~3일 사이 LG유플러스의 AI 통화 비서 서비스 ‘익시오’에서 운영 개선 작업이 진행되던 중, 서버 캐시 설정 오류로 일부 이용자의 통화정보가 다른 사용자 단말기에 일시적으로 표시되는 현상이 발생했다. 회사는 12월 3일 오전 문제를 인지한 후 복구 조치를 완료하고, 12월 6일 개인정보보호위원회에 자진 신고하였다. 해킹 공격은 아닌 것으로 회사는 설명하고 있으며, 통신·보안업계에서는 암호화·온디바이스 보안 구조와 실제 구현 방식 간 괴리 가능성 등을 지적하고 있다. 개인정보위는 현재 사실관계를 파악 중이다.

 

□  사고내용 요약  

    1. 회사명 : LG유플러스(익시오 서비스)
    2. 사고유형 : 개인정보 일시 노출(기술적 설정 오류·운영 오류 정황)

    3. 유출규모 :  고객 36명의 통화정보가 이용자 101명에게 일시 노출
    4. 유출항목 : 통화 상대방 전화번호, 통화 시각, 통화내용 요약
          ※ 주민등록번호·여권번호·결제정보 등 고유식별·금융정보는 포함되지 않음
    5. 특이사항
        - 회사가 강조해온 ‘온디바이스 기반 보안’과 달리 서버 캐시 사용 및 암호화 검증 절차 논란 제기
        - 외주 개발 구조와 설정 오류 가능성 관련 업계 지적(회사 측은 부인)

□ 익시오(XiO)란?
LG유플러스가 제공하는 AI 통화 비서 서비스로,통화 녹음·통화 내용 요약·보이스피싱 탐지 등 통화 관련 기능을 AI로 자동 처리해주는 앱입니다.

1. 핵심 기능
통화 녹음 & 자동 요약보이는 전화(수신자 정보 표시)보이스피싱 위험 감지통화 내용 기반 개인화 추천

2. 구조적 특징
회사는 “온디바이스 AI 기반(휴대전화 내부에서 처리)”이라고 설명해왔지만,통화 내용 요약 기능은 서버(LLM)에서 처리되며,기기 변경·재설치를 위해 일부 정보가 암호화된 형태로 서버에 임시 저장됨.

□  해킹대응 타임라인  

    - 2025년 12월 02일 20:00경: 통화정보 노출 가능성 시작
    - 2025년 12월 03일 10:59경: 노출 가능 시간 종료
    - 2025년 12월 03일 오전: LGU+가 문제 인지 및 원인 파악·복구 착수
    - 2025년 12월 06일 09:00경: 개인정보보호위원회에 자진 신고
    - 2025년 12월 07일~10일: 언론을 통해 사고 경위 및 암호화·온디바이스 구조 논란 제기

□  개인정보 유출 관련 안내 공지   

    회사 공식 입장 발표: “캐시 설정 오류로 인한 일시적 노출”, “해킹과 무관”, “관계기관 조사에 협조 예정”
      - 고객 대상 전화·문자 안내 완료(추후 홈페이지 공지 여부 확인 필요)
 
□  대응내역  

    -  서버 캐시 설정 오류 지점 확인 및 즉시 복구
    -  노출된 정보가 더 이상 표시되지 않도록 조치
    -  관련 고객 36명 및 노출 수신자 101명에게 개별 안내
    -  개인정보보호위원회에 자진 신고 및 조사 협조 중

□ 재발방지대책(권고사항)   

    1. 기술적 조치
       - 서버 캐시 설정·배포·Rollback 절차 강화
       - 온디바이스/서버 간 데이터 흐름 구조 재점검 및 암호화키 검증 체계 재확인
       - 복구용 서버 데이터의 암호화·접근통제 강화를 위한 키 관리 체계 재검토
       - 앱 재설치·기기변경 시 재동기화 과정의 검증 로직 보완
       - 개발·운영 환경 분리 및 설정 검증 자동화 도구 도입

    2. 관리적 조치
       - 기능 개선·배포 시 개인정보 영향평가 수준의 사전 검토 강화
       - 외주·SI 인력 참여 범위의 권한관리·접근통제 절차 점검
       - 사고 대응·보고 프로세스 재정비 및 모의훈련
       - 온디바이스 기반 서비스의 보안 구조 홍보 내용과 실제 구현 간 정합성 검증 체계 마련

□  관련기사(출처)  

• LGU+, 익시오 고객 36명 통화정보 유출…개보위 신고 - 프라임경제
• 익시오 통화내역 유출…LGU+ '온디바이스 보안' 논란(종합) - 연합뉴스

 

감사합니다.