[이데일리 김현아 기자] LG유플러스의 침해사고 대응 과정에서 증거를 훼손하거나 조사를 방해했다는 의혹이 국정감사에서 제기됐다. 한국인터넷진흥원(KISA)이 침해 정황을 통보한 뒤 의심 서버를 폐기하거나 운영체제(OS)를 재설치하면서 추가적인 피해 여부를 확인하기 어려워졌다는 지적이다.

한준호 더불어민주당 의원은 6일 국회 과학기술정보방송통신위원회의 과학기술정보통신부 국정감사에서 증인으로 출석한 홍관희 LG유플러스 정보보안센터장(CISO·전무)을 상대로 침해사고 이후 서버 폐기와 재설치 과정 등을 집중적으로 따졌다.

정부 조사에 따르면 LG유플러스는 2025년 7월 19일 KISA로부터 자료 유출 정황을 공유받고 침해사고 신고를 안내받았다. 하지만 같은 달 31일 침해가 의심되는 서버를 폐기했고, 8월 12일에는 유출이 의심되는 통합계정관리(APPM) 서버의 OS를 재설치했다.

이후 9월 15일까지 협력사 직원 노트북에서 APPM 서버로 이어지는 경로에 있는 주요 서버도 재설치하거나 폐기한 것으로 조사됐다. 침해사고 신고는 KISA의 통보 이후 약 3개월이 지난 10월 23일 이뤄졌다.

민관합동조사단은 서버 목록과 계정정보, 임직원 성명 등의 외부 유출은 확인했지만 추가 침해 경위와 고객정보 유출 여부는 확인하지 못했다. 관련 자료가 훼손돼 고객정보가 유출되지 않았다고 단정할 수도, 유출됐다고 확인할 수도 없는 상황이라는 설명이다.

과기정통부와 개인정보보호위원회는 이와 관련해 LG유플러스의 증거 인멸 및 조사 방해 행위가 있었다고 보고 ‘위계에 의한 공무집행방해’ 혐의로 경찰에 수사를 의뢰한 상태다.

홍 전무는 이날 KISA 통보와 OS 재설치 사실은 인정했다. 하지만 재설치 전 원본자료 보존 여부와 서버 포렌식 이미지 생성 여부, 생성 시점 등 핵심 질문에는 “수사 중인 사안이라 답변하기 어렵다”는 취지의 답변을 반복했다.

추가 질의가 이어지자 서버 이미지는 KISA 통보 이후 생성된 것으로 알고 있다고 답했지만, 서버 폐기·재설치 과정과 원본자료 보존 여부에 대해서는 명확한 답변을 내놓지 않았다.

한 의원은 “KISA가 침해 정황을 알린 뒤 핵심 서버를 재설치하고 폐기한 것을 단순 실수로 보기는 어렵다”며 “수사가 진행 중이라는 이유가 국회에서 기본적인 사실조차 밝히지 않을 근거가 될 수는 없다”고 지적했다.

이어 “증거를 없앤 기업이 성실히 신고한 기업보다 가벼운 책임을 진다면 ‘해킹은 숨기는 게 답’이라는 잘못된 선례가 남을 수 있다”며 “경찰 수사에서 고의적인 해킹 은폐가 확인되면 과기정통부가 위약금 면제 등 엄정한 조치에 나서야 한다”고 촉구했다.

이번 사태를 계기로 침해사고 이후 기업의 증거보존 책임을 강화해야 한다는 제도 개선 요구도 나왔다.

사고가 발생했거나 침해가 의심되는 상황에서 기업이 조사에 필요한 서버와 로그, 전자기록 등을 고의로 조작·훼손·삭제·폐기해 실제 유출 범위를 확인할 수 없게 했다면, 그에 따른 불확실성을 이용자에게만 부담시키지 않도록 별도의 책임 기준을 마련해야 한다는 취지다.

한 의원은 서버 폐기와 OS 재설치 과정, 자료 보존 여부, 침해사고 인지 이후 조치의 적정성 등에 대해 향후 KISA 국정감사에서 정부의 조사와 대응 과정을 중심으로 추가 확인할 예정이다.