LG유플러스 AI 통화비서 '익시오' 통화정보 유출 사고

LG유플러스의 인공지능(AI) 통화비서 서비스 '익시오'에서 2025년 12월 2일 오후 8시부터 이튿날 오전 10시 59분까지 약 14시간 동안 통화정보 유출 사고가 발생했다. 이 기간 동안 익시오 앱을 새로 설치하거나 재설치한 이용자 101명에게 다른 이용자 36명의 통화 요약문, 통화 시각, 통화 상대방 전화번호가 잘못 노출됐다. 사고 원인은 서버 작업자의 실수로 인한 임시 저장공간(캐시) 설정 오류로 파악됐으며, 해킹 등 외부 침입에 의한 것은 아니었다. 다만 주민등록번호나 통화 원문, 상대방 이름 등 민감정보는 포함되지 않은 것으로 확인됐다. LG유플러스는 이를 '휴먼 에러'라고 설명했다.

LG유플러스는 12월 3일 오전 10시경 익시오의 이상 징후를 인지하고 즉각 원인 파악과 복구 작업에 들어갔다. 회사 측은 문제가 된 캐시 설정을 되돌리고 추가 유출 가능성을 차단하는 조치를 취했다고 밝혔다. 이후 피해가 확인된 고객 전원에게 전화와 문자메시지로 유출 사실을 개별 안내했다. 회사는 유출 규모가 1000명 미만이고 민감정보가 포함되지 않아 법적으로 신고 의무 대상은 아니라고 설명했다. 그럼에도 회사는 자발적으로 규제당국에 사고 내용을 알리는 절차를 밟기로 했다.

LG유플러스는 12월 6일 오전 개인정보보호위원회에 익시오 통화정보 유출 사고를 자진 신고했다. 법적 신고 의무가 없는 소규모 유출임에도 자진신고를 택한 것은 앞서 몇 달 전 해킹 은폐 논란으로 곤욕을 치른 전례를 의식한 행보로 풀이됐다. 개인정보보호위원회는 신고 내용을 토대로 사고 경위와 재발 방지 대책의 적정성을 들여다볼 방침이라고 밝혔다. 통신업계에서는 AI 서비스 확산과 함께 이 같은 소규모 유출 사고가 앞으로도 반복될 수 있다는 우려가 제기됐다. LG유플러스는 향후 서버 운영 프로세스를 전면 재점검하겠다고 약속했다.

이번 사고는 LG유플러스가 그동안 강조해 온 '온디바이스 AI' 마케팅과 정면으로 배치된다는 지적을 받았다. 회사는 익시오의 음성-텍스트 변환이 휴대폰 단말기 안에서 처리되고 요약 결과만 서버로 전송되는 구조라며 우수한 보안성을 홍보해 왔다. 그러나 실제로는 서버에 요약문이 임시 저장되는 과정에서 캐시 오류로 다른 이용자에게 노출되는 사고가 발생하면서, 그간의 보안 마케팅 메시지가 무색해졌다는 비판이 나왔다. 언론과 업계에서는 이를 두고 AI 서비스의 편의성과 실제 보안 설계 사이의 괴리를 보여주는 사례로 지목했다. 이용자들 사이에서는 익시오의 유료화·슈퍼앱 전환 계획에도 차질이 빚어질 수 있다는 관측이 제기됐다.

익명을 요구한 보안 전문가는 이번 사고에 대해 "AI 기반 서비스가 빠르게 늘고 있지만 개발 단계에서 보안팀과 충분히 협의하는 경우는 많지 않을 것"이라고 지적했다. 그는 "작은 설정 오류 하나가 곧바로 개인정보 유출로 이어질 수 있다"며 설계 단계부터 보안을 우선하는 원칙이 필요하다고 강조했다. 그는 또 최근 잇따른 국내 기업들의 유출 사례를 언급하며 "내부 통제가 외부 침입 방지만큼 중요하다는 점을 보여준다"고 덧붙였다. 이런 지적은 AI 서비스가 늘어나는 가운데 기업들의 내부 데이터 관리 체계 전반에 대한 재점검 필요성으로 이어졌다. LG유플러스를 포함한 통신 3사는 이후 AI 서비스 보안 점검을 강화하겠다는 방침을 잇달아 내놨다.