테크부터 경제, 생활까지. 복잡한 소식을 쉽게 풀어봅니다.
휴대폰 옆구리의 작은 트레이를 열면 손톱만 한 칩, 유심(USIM)이 들어 있죠. 평소엔 존재조차 잊고 살지만, 이 칩 안에는 통신사가 “이 사람이 우리 가입자가 맞다”고 알아보는 고유 번호가 들어 있어요. 그 번호의 이름이 IMSI(국제이동가입자식별번호)입니다.
10월 6일 국회 과학기술정보방송통신위원회 국정감사에서 이 IMSI가 도마에 올랐습니다. LG유플러스가 15년 가까이 IMSI 뒷부분에 가입자 전화번호를 그대로 붙여 왔다는 지적이 나온 거예요. 정부는 유심을 아직 바꾸지 않은 가입자를 위해 12월 22일부터 원격 업데이트로 IMSI 체계를 일괄 전환하겠다고 답했습니다. 오늘은 IMSI가 뭔지, 왜 문제인지, 그리고 내가 무엇을 하면 되는지를 초보 눈높이로 풀어볼게요.
한 줄로 먼저
- IMSI는 유심에 저장된 15자리 가입자 식별번호예요. 휴대폰이 통신망에 처음 접속할 때 “저 왔어요” 하고 내미는 통신용 신분증 같은 역할을 합니다.
- 국감 지적에 따르면 LG유플러스는 이 번호 뒤쪽에 전화번호를 그대로 넣어 왔어요. 그래서 IMSI를 엿보면 전화번호를 곧바로 알 수 있는 구조였다는 겁니다.
- LG유플러스는 올해 4월 13일부터 난수(무작위 숫자) 방식으로 바꾸는 유심 업데이트·무료 교체를 하고 있지만, 교체율이 30% 수준이라는 지적이 나왔고 정부는 12월 22일부터 원격 일괄 전환을 예고했어요.
IMSI가 뭐길래?
전화번호는 사람들이 나를 부를 때 쓰는 “이름”이라면, IMSI는 통신사 전산이 나를 구별할 때 쓰는 “회원번호”에 가깝습니다. 휴대폰을 켜면 유심이 근처 기지국에 이 번호를 건네고, 통신사는 유심 속 비밀 열쇠(인증키)로 한 번 더 확인한 뒤 통화·문자·데이터를 열어 줘요.
| 구분 | 전화번호 | IMSI |
|---|---|---|
| 쓰는 사람 | 친구·가족·택배 기사 등 사람 | 통신사 네트워크와 기지국 같은 기계 |
| 어디에 있나 | 연락처, 명함, 각종 가입 정보 | 유심 칩과 통신사 서버 |
| 길이·구성 | 010으로 시작하는 11자리 | 15자리: 국가코드 + 사업자코드 + 가입자 부분 |
| 일상 비유 | 내 이름 | 건물 출입용 사원증 번호 |
| 노출되면? | 스팸·광고 전화가 늘 수 있음 | 누가 어디 있는지 추적하거나, 다른 유출 정보와 엮여 악용될 우려 |
원래 IMSI의 맨 앞은 나라(한국은 450), 다음은 통신사를 뜻하는 코드라서 누구나 비슷합니다. 문제는 마지막 “가입자 부분”을 어떻게 만드느냐예요. 여기에 무작위 숫자를 쓰면 번호만 봐선 누구인지 알기 어렵지만, 전화번호를 그대로 넣으면 IMSI가 곧 전화번호가 되어 버립니다.
통신 3사는 어떻게 달랐나
국감에서 조경태 의원(국민의힘)이 통신 3사의 IMSI 만드는 방식을 비교했어요. 아래는 국감 발언과 보도 내용을 정리한 것입니다.
| 통신사 | IMSI 가입자 부분 (국감 지적 기준) | IMSI만 보고 전화번호를 알 수 있나 |
|---|---|---|
| SK텔레콤 | 전화번호 중간 4자리 뒤에 개통 때 무작위로 만든 5자리 난수를 붙임 | 어려움 (난수가 섞임) |
| KT | 유심 제조사가 부여한 일련번호 사용 | 어려움 |
| LG유플러스 (기존) | 국가·사업자 코드 뒤에 가입자 전화번호를 그대로 붙임. 2011년 4G 도입 이후 유지 | 가능 (지적의 핵심) |
| LG유플러스 (새 체계) | 가입자코드 부분을 난수화. 유심을 교체하거나 재설정하면 자동 적용 | 어려움 |
조 의원실은 이 구조에 노출된 LG유플러스 가입자를 약 1,100만 명으로 추산했어요. 다만 이는 의원실 추산치입니다. LG유플러스는 3월 발표에서 “기존 IMSI 체계는 국제 표준에 부합하고, 고객을 인증할 때 암호화된 키 값 등을 추가로 확인하기 때문에 보안사고로 이어질 가능성은 매우 낮다”고 밝힌 바 있어요. 즉 IMSI만으로 유심이 복제되는 건 아니라는 게 회사 입장이고, 국감에서는 다른 유출 정보와 합쳐질 때의 2차 피해를 우려한 겁니다.
‘가짜 기지국’ IMSI 캐처는 뭔가요?
국감 현장에서는 IMSI 캐처 시연 영상도 공개됐어요. IMSI 캐처는 진짜 통신사 기지국인 척 신호를 내보내 주변 휴대폰이 자기에게 붙도록 유도한 뒤, 휴대폰이 내미는 IMSI를 가로채는 불법 장비입니다. 아파트 입구에 가짜 경비실을 차려 놓고 오가는 사람의 사원증 번호를 몰래 적는 것과 비슷하죠.
IMSI에 무작위 숫자가 섞여 있다면 가로챈 번호를 봐도 누구인지 알기 어렵습니다. 하지만 전화번호가 그대로 들어 있다면 “지금 이 근처에 이 번호 주인이 있다”는 사실까지 드러날 수 있어요. 그래서 국감에서는 전화번호 무단 수집이나 특정인을 노린 표적형 범죄 우려가 제기됐습니다.
| 우려 시나리오 | 어떻게 가능해지나 | 현재 대응 |
|---|---|---|
| 전화번호 무단 수집 | IMSI 캐처로 근처 휴대폰의 IMSI를 모으면 기존 LG유플러스 체계에선 곧 전화번호 목록 | 난수 IMSI로 전환 중 (유심 교체·업데이트) |
| 위치·동선 추적 | 특정 번호가 어느 장소에 나타났는지 확인 | IMSI를 암호화하는 5G 단독모드 기술(SUCI) 적용 계획 |
| 2차 피해 (유심·단말 복제) | 국감에서 “다른 해킹으로 유출된 유심 인증키·단말기 식별번호와 결합되면 위험”하다고 경고 | 정부, 철저한 대비 필요성 인정 |
| 그럴듯한 사기 연락 | 내 번호를 아는 사람이 통신사·기관을 사칭 | 공식 앱·고객센터로 직접 확인하기 |
하나 더 알아 둘 기술이 있어요. SUCI는 5G 단독모드(SA)에서 IMSI를 그대로 보내지 않고 암호화한 형태로 전달하는 기술이에요. LG유플러스는 올해 상용하는 5G 단독모드에 SUCI를 100% 의무 적용하겠다고 밝혔습니다. 다만 이건 5G 단독모드에 해당하는 이야기라서, 지금 대부분의 휴대폰이 쓰는 환경 전체를 대신해 주는 건 아니라는 점은 알아 두세요.
그래서 정부와 회사는 뭘 하겠다는 건가요?
| 시점 | 무슨 일 | 초보 해석 |
|---|---|---|
| 2011년~ | LG유플러스, 4G 도입 이후 IMSI에 가입자 전화번호를 반영 | 15년 가까이 이어진 방식 |
| 2026년 3월 17일 | LG유플러스, 난수 기반 새 IMSI 체계와 전 고객 유심 무상 교체·재설정 발표 | “바꾸겠다”는 예고 |
| 2026년 4월 13일~ | 전 고객 대상 유심 업데이트·무료 교체 시작 (알뜰폰·스마트워치·키즈폰 포함) | 앱으로 업데이트하거나 매장에서 교체 |
| 2026년 10월 6일 | 국감에서 교체율 약 30%·위험성 안내 부족 지적. 배경훈 부총리 겸 과기정통부 장관 “12월 22일부터 자동 원격 업데이트로 일괄 전환” | 안 바꾼 사람도 원격으로 일괄 바꾸겠다는 계획 |
| 2026년 12월 22일~ (예정) | 잠정 계획: 원격 업데이트로 IMSI 체계 일괄 전환 | 세부 방식은 추가 안내를 지켜봐야 함 |
국감에서는 지난해 LG유플러스 해킹 은폐 의혹도 다시 거론됐어요. 과기정통부는 LG유플러스가 침해 서버를 폐기하고 운영체제를 재설치해 사고를 감췄다고 보고 경찰에 수사를 의뢰한 상태입니다. 배 부총리는 “수사를 통해 고의적 증거 인멸과 조사 방해가 밝혀지면 당연히 위약금 면제를 요청해야 한다”고 말했어요. 아직 수사가 진행 중이라 사실관계는 확정되지 않았고, 위약금 면제도 결정된 것이 아니라 “수사 결과에 따라 검토”하는 단계입니다.
LG유플러스(알뜰폰 포함) 이용자라면, 오늘 할 일
12월 원격 전환을 기다려도 되지만, 이미 마련된 방법으로 지금 바로 바꿀 수 있어요. LG유플러스 공지 기준으로 정리했습니다.
| 상황 | 이렇게 하세요 | 알아 둘 점 |
|---|---|---|
| LG유플러스 휴대폰 사용자 | U+one 앱 → 메인 팝업 “유심 업데이트·교체 신청하기” 또는 우측 상단 메뉴 → MY → 유심 업데이트 | 본인인증 후 진행. 완료되면 안내 문자가 오고, 문자가 없거나 인터넷이 안 되면 휴대폰을 껐다 켜기 |
| 앱 업데이트가 안 되는 경우 | U+one 앱·홈페이지에서 매장 방문 예약 후 가까운 매장 방문 | 노후 유심이나 일부 자급제 단말은 교체가 필요할 수 있음. 신분증과 쓰던 휴대폰 지참 |
| LG유플러스망 알뜰폰 사용자 | 알뜰폰닷컴(uplusmvno.com)의 원격유심재설정 기능 이용 또는 안내된 매장 방문 | 이용 중인 알뜰폰 회사 공지도 함께 확인 |
| 4월 13일 이후 신규 가입·번호이동 | 별도 조치 불필요 | 새 유심에 바뀐 체계가 자동 적용 |
| “유심 바꾸세요” 문자를 받았다면 | 문자 속 링크 대신 공식 앱이나 114로 직접 확인 | 유심 이슈를 노린 사칭 문자(스미싱)에 주의 |
LG유플러스는 유심 교체·재설정 과정에서 고객 데이터나 서비스 이용에는 영향이 없다고 안내하고 있어요. 사진·연락처가 지워지는 일이 아니니 부담 갖지 않아도 됩니다.
정리하면
유심 속 IMSI는 평소엔 보이지 않는 번호지만, 그 번호를 어떻게 만드느냐가 곧 내 정보가 얼마나 쉽게 드러나느냐를 정합니다. 사원증 번호를 내 전화번호로 만들어 두면 편하긴 해도, 누가 번호를 엿보는 순간 나까지 드러나는 것과 같은 이치예요. LG유플러스나 그 망을 쓰는 알뜰폰을 쓰고 있다면, 오늘 저녁 U+one 앱을 열어 “유심 업데이트”가 끝났는지 한 번 확인해 보시는 건 어떨까요?
이 글은 통신 보안 소식을 쉽게 풀어 설명하기 위한 것으로, 국정감사 발언과 회사 발표를 바탕으로 했어요. 가입자 수 추산은 의원실 자료이며, 해킹 은폐 의혹은 수사 중인 사안이라 결과에 따라 내용이 달라질 수 있습니다. 12월 원격 전환의 세부 방식은 추후 공식 안내를 확인해 주세요.