[비즈니스포스트] '보이스피싱 피하려다 통화내용 털리지 않을까 걱정하게 되는 거 아니야?'

LG유플러스가 AI 통화 비서 서비스 '익시오(ixi-O)'를 이용하는 가입자들의 통화내용을 보관하다 노출시킨 것과 관련해, 한 언론사 대표가 비즈니스포스트와 만나 한 말이다.
 
그는 "익시오 서비스를 이용하면 통화내용이 자동으로 6개월이나 보관되고, 특히 통화내용이 다른 사람에게 노출될 수 있다는 것은 상상조차 못했다"고 말했다. 이어 "통화내용이 보관된다는 사실을 미리 분명하게 얘기하고, 보관하려면 통화자 본인 말고는 엿볼 수 없게 암호화 등 보안 장치를 해야 하는 거 아니냐"고 목소리를 높였다.

그는 "정치인과 연예인과 기자 등 사생활 노출과 통화 내용 정보에 민감해햐는 사람들을 만나면 LG유플러스 이동통신을 쓰면 안된다고 말할 것 같다"고 덧붙였다. LG유플러스가 내년부터는 이동통신 가입자들에게 익시오 서비스를 기본 제공하고, 음성통화 검색서비스도 제공할 예정이라고 들려주자 한 말이다.

통화내용 보관은 통신비밀 보호와 직결된다. 우리나라는 헌법으로 통신비밀과 정보인권을 보호하고 있다. 통신비밀보호법 절차에 따라 국가안보를 위한 정보 수집이나 수사·재판 등에 대체 수단 없이 꼭 필요한 경우에만 '감청'이란 이름으로 타인의 통화내용을 엿듣거나(감청, 이메일이나 문자메시지 등은 엿보거나) 녹음(저장·보관)할 수 있게 하고 있다.

그런데 LG유플러스가 익시오란 이름의 AI 통화 비서 서비스 제공을 명분으로 가입자들의 통화내용을 회사 서버(컴퓨터)로 가져와 처리하고 보관하다 다른 가입자들에게 노출시켰다. 본인이 아닌 다른 가입자가 통화내용을 볼 수 있었다는 것은 암호화 등 보안이 부실한 상태로 보관되고 있었다는 의미다.

이용자들이 깜짝 놀랄 수밖에 없다. 익시오 서비스를 이용하는 LG유플러스 가입자는 이미 100만 명을 넘는다.

앞서 LG유플러스는 지난 6일 익시오 서비스 운영 개선 작업 과정에서 캐시 설정 오류로 익시오 서비스를 이용 중인 가입자 36명의 통화 상대방 전화번호, 통화 시각, 통화내용 요약 같은 통화정보가 다른 가입자 101명에게 일시적으로 노출됐다며, 개인정보보호위원회에 자진 신고했다고 밝혔다.

이 업체 이동통신 가입자들은 "불안하다"고 말한다. "통화내용이 LG유플러스 서버에 저장된다고? 단말기에 보관된다고 강조하지 않았나?"

LG유플러스가 서둘러 설명자료를 내놓은 이유다.

"LG유플러스는 모든 AI 통화 앱의 기능을 온디바이스 AI로 대체하는 시도를 이어가고 있으나, AI 성능 및 경량화 등 추가적인 기술 확보에 시간이 걸리는 바, 일부 기능은 서버를 거쳐 운영하고 있습니다. 일부 정보가 서버를 거쳐 서비스된다는 내용과 6개월간 보관되는 데이터 등에 대한 내용은 익시오 가입 과정에서 고객에게 동의를 받아 서비스하고 있습니다. 일부 데이터 보관은 스마트폰 교체 및 앱 재설치 등 과정에서도 고객에게 연속성 있는 서비스를 제공하기 위해 필요한 과정입니다."

"하지만 익시오의 마케팅과 홍보 시 온디바이스 AI 기술을 강조하면서 익시오의 '모든 기능'을 온디바이스 AI로 처리한다는 인식이 형성됐고, 이번 통화정보 유출 자진 신고를 계기로 많은 고객들에게 실망을 끼쳤습니다."

요약하면, 통화내용을 회사 서버로 가져와 처리하고, 또 보관하고 있다는 얘기다. AI 서비스 마케팅과 홍보 과정에서 잘못 설명했다고 털어놨다.  

실제로 LG유플러스가 그동안 내놓은 보도자료를 보면, '온 디바이스(on-device) 환경'(단말기에서 처리하고 보관도 단말기에 한다는 뜻)을 강조했다. 이를 경쟁사 대비 보안 강점으로 내세우기도 했다.

"통화녹음 및 요약은 일부(다른 사업자) 서비스에서 (이미) 제공하고 있는 기능이지만, 익시오의 경우 실제 음성 데이터가 서버를 거치지 않기 때문에 보안상의 강점이 있다."(2024년 11월26일 '익시오 출시 알린 LG유플러스 "고객에게 꼭 필요한 AX 선보일 것"')

"지난 7일 출시된 익시오는 보이는 전화, 전화 대신받기, 실시간 보이싱 감시, 통화 녹음 및 요약 등 기능을 온디바이스 환경에서 제공한다."(2024년 11월26일 'LG유플러스 '익시오', 출시 열흘 만에 10만 다운로드')

"익시오는 실시간 보이스피싱 탐지 기능과 통화 녹음 및 요약, 보이는 전화 등 기능을 온디바이스(On-device) 환경에서 제공하는 AI 통화 앱이다."(2025년 10월21일 'LG유플러스, 고객맞춤형 AI로 새로워진 '익시오 2.0' 공개')

하지만 통화내용 노출 사고가 터진 뒤에는 "AI 성능 및 경량화 기술 부족 등을 이유로 통화내용 요약과 보관 등 일부 기능은 서버를 통해 하고 있다"고 말을 바꿨다.

특히 통화내용이 회사 서버에 6개월 자동 보관된다는 사실은 노출 사고가 터진 뒤에서 명확히 밝혔다.

하지만 가입자 눈높이에서 익시오 가입 절차 등을 개선해 가입자들의 불안감을 덜어주겠다는 의지는 내보이지 않는다. 앞서 마케팅이나 홍보 과정에서 잘못 설명해 가입자들의 자기결정권을 침해한 부분은 어떻게 해결할지에 대한 설명도 없다.  

LG유플러스는 설명자료에서, '고객에게 동의를 받아' 익시오 이용 가입자의 통화내용을 서버로 가져와 처리하고 6개월 동안 보관하고 있다고 강조했다. "스마트폰 교체 및 앱 재설치 등 과정에서도 고객에게 연속성 있는 서비스를 제공하기 위해 필요한 과정"이라고 설명했다.

문제는 통화내용 6개월 보관 동의가 선택이 아닌 필수로 돼 있다는 점이다. 이를 선택하지 않으면 익시오 서비스를 이용할 수 없다. 사실상 통화내용 보관에 동의를 받는 게 아니라 동의를 강제하고 있는 꼴이다.

LG유플러스가 "가입자들의 동의를 받았다"고 주장하려면, 통화내용 보관에 동의하지 않고도 익시오 서비스에 가입하고 이용할 수 있게 했어야 한다고 정보인권 전문가들은 지적한다.

다른 이동통신사 관계자도 "통화내용 6개월 보관에 대한 동의를 가입자가 선택할 수 있게 해야 '고객을 위한 기능'이라는 주장도 설득력을 가질 수 있다"고 꼬집었다.

LG유플러스는 '통신비밀보호법 위반 논란을 없애고 가입자 불안감을 줄이기 위해 통화내용 6개월 보관을 선택 동의로 바꿀 계획이 없느냐?'는 비즈니스포스트 질문에 "검토된 바 없다"고 일축했다.

LG유플러스 언론홍보팀장은 비즈니스포스트와 통화에서 이와 관련해 "미국 빅테크 서비스들도 이용자 데이터를 수집해 맞춤형 서비스에 활용한다. 통화내용 6개월 보관에 동의하지 않는 것은 AI 서비스를 이용하지 않겠다는 것이나 다름없다. AI 서비스를 이용하지 않으면 된다"고 말했다. 이어 "PC나 스마트폰에 저장공간이 부족할 때 클라우드 서버에 올려 보관하지 않냐. 내 PC나 스마트폰 저장공간 부족으로 콘텐츠를 클라우드 서버에 저장하는 것과, 단말기 성능과 저장공간 부족으로 통화내용을 서버에서 처리하거나 보관하는 것에 무슨 차이가 있느냐"고 주장했다.

LG유플러스가 가입자들의 통화내용을 회사 서버로 가져가 처리하고 보관한다는 게 헌법의 통신비밀 보호와 통신비밀보호법 절차상 어떤 의미를 갖는지를 분명하게 인식하지 못하는 모습이 역력하다.

이는 설명자료 내용의 신뢰성도 떨어트린다. '최소한의 정보만 연산을 위해 서버로 이동한다'는 게 사실인지, 일부 기능만 서버에서 하는 게 맞는지, 통화내용 요약본의 실체는 뭔지, 'AI 서비스'란 이름으로 다른 정보는 서버에 보관하지 않는지, 보관하는 정보를 암화하고 있기는 한 것인지 등 여러 의문을 갖게 한다.

LG유플러스 서버에 보관된 통화내용은 앞으로 시스템 개선 작업 과정에서 오류 등에 따라 노출되거나 해킹을 통해 유출될 수 있고, 국가안보를 위한 정보 수집과 수사 등의 이유로 국가정보원·검찰·경찰 손에 넘어갈 수도 있다. 통신사가 가입자들의 통화내용을 보관하고 있는 게 알려졌으니 가만 둘리 없다.

LG유플러스 서버에 담긴 통화내용(요약)이 통신비밀보호법상 감청 영장 대상인지 통신사실확인자료 열람 영장 대상인지를 놓고도 논란이 예상된다. LG유플러스 측은 통신사실확인자료에 해당한다고 하고, 정보인권 활동가들은 이메일이나 문자메시지를 열어보는 것처럼 감청에 해당한다고 주장한다.

LG유플러스는 설명자료에서 2026년 상반기 익시오에 AI 음성 검색 기능을 도입할 예정이라고 밝혔다. '헤이 익시'로 AI 통화 비서 서비스를 호출한 이후의 통화내용을 서버로 전송해 AI 검색에 활용한단다.

이 때부터는 음성통화 내용 그대로 통채로 녹음돼 저장되는 것이다. LG유플러스의 정보인권 인식 수준이라면, 이 또한 필수 동의를 받게 할 가능성이 있다. 기존 익시오 이용자들은 이마저의 동의 절차도 생략될 가능성도 있다.
 
덩달아 SK텔레콤 AI 통화 서비스 '에이닷'의 통화내용 서버 보관 여부와 기간, 동의 절차 등도 주목된다. 이런 서비스는 카카오톡 통화에서도 제공된다.

에이닷 역시 출시 단계부터 통신비밀보호법 위반 소지 논란이 있었고, 아직 충분히 해소되지 못했다. SK텔레콤 측은 '사람이 아닌 AI가 데이터 처리 과정에서 열어보는 것이라 문제되지 않는다'고 주장하기도 했지만, 'AI는 수단일 뿐 뒤에는 사람이 있다'는 반박도 많다.

LG유플러스 측은 "AI 통화 앱 서비스는 다 똑같은 구조"라고 주장했다.
 
KT는 아직 AI 통화 서비스를 내놓지 않고 있다. KT 관계자는 비즈니스포스트와 만나 "SK텔레콤 에이닷 출시 때 불거진 통신비밀보호법 위반 소지 논란이 아직 완전히 클리어되지 않아 검토만 하고 있다"고 밝혔다.

정보인권 전문가들의 말을 종합하면, AI 통화 서비스의 정보인권 침해 논란을 해소하는 방법은 통화내용 보관에 대한 보관을 이용자가 선택하게 하고, 명시적인 설명과 동의 절차를 거쳤다는 사실을 입증할 수 있는 장치를 둬야 한다. 또한 서버에 보관된 통화내용은 완벽하게 암호화해 본인 단말기가 아니면 노출돼도 엿볼 수 없게 하고, 정보·수사기관이 이를 열람하고자 할 때는 감청 영장을 받도록 해야 한다.

LG유플러스와 SK텔레콤과 카카오는, 박근혜 정부 시절 '관계기관 대책회의' 카카오 임원이 참석한 사실이 불거진 뒤, 카카오톡 가입자들이 문자메시지를 서버에 보관하지 않아 수사기관의 압수수색에서 안전한 것으로 알려진 텔레그램으로 대거 이탈하자 궁여지책으로 카톡 미수신 문자메시지 서버 보관 기간을 단축했던 전례를 되돌아보길 권한다.

사생활을 담고 있는 통화내용에 대한 민감성은 개인정보 유출에 비할 바가 아니다. 김재섭 선임기자