SK텔레콤 유심 해킹 사태
2025년 4월 18일 발생한 SK텔레콤의 유심(USIM) 정보 유출 사태는 국내 통신 역사상 최대 규모의 개인정보 침해 사례로 기록되었습니다. 5월 8일 기준으로 법적·정치적 파장이 확산 중이며, 해킹으로 인해 2,500만 명 이상의 가입자 정보가 유출되었고, BPFdoor 악성코드를 통한 고도화된 공격이 확인되었습니다.
SK텔레콤의 지연된 신고와 미흡한 위기 대응은 기업 책임론을 부각시켰고, 집단소송 참여자 수가 3만 명을 넘어섰습니다. 국회는 5월 8일 청문회를 통해 위약금 면제 및 법적 책임 강화 방안을 논의 중입니다.
[현장영상] SKT '이용자 유심 정보' 2,600만 건 유출…악성코드 25종 확인
SKT 해킹 사태로 유출된 이용자의 유심 정보가 SKT 전체 이용자 규모를 뛰어넘는 2천6백만 여건으로 드러났습니다. 민관합동조사단의 2차 조사 결과, 유출된 유심 정보는 9.82GB 규모, 가입자 식별키(IMSI) 기준으로는 2천695만 7,749건에 이르며, 단말기 고유식별번호(IMEI) 29만 1,831건과 개인정보가 포함된 파일이 발견되었습니다.
고객 보호를 위한 추가 조치 안내
SK텔레콤의 공식 채널에서 제공하는 "[알려드립니다] 고객 보호를 위한 추가 조치 안내" 영상입니다. 유심 해킹 사태에 대한 공식 대응 및 고객 보호 조치에 대해 확인하세요.
출처: SK텔레콤 공식 유튜브
핵심 침해 정보
1차 조사: HSS 인증 서버 3대에서 9.7GB 데이터 유출(25만 명분), 전화번호·IMSI·Ki 인증키 탈취, IMEI 유출 없음
2차 조사: 감염서버 총 23대, 악성코드 25종 발견, 개인정보 서버 2대 감염 확인, IMEI 291,831건 포함 파일 발견
사건 개요
대응과 논란
법적 파장
향후 과제
사건 개요 및 기술적 배경
유출 규모와 정보 특성
- 2025년 4월 18일 SK텔레콤 네트워크 인프라센터 비정상 트래픽 탐지
- 음성인증장비(HSS) 3대에서 9.7GB 데이터 유출 (약 25만 명분)
- 전화번호(MSISDN), 국제이동통신가입자식별번호(IMSI), 유심 인증키(Ki) 유출
- 유출된 정보로 심스와핑(SIM swapping)이나 복제폰 제작 가능
공격 기법과 보안 취약점
- BPFdoor 리눅스 기반 백도어 악성코드 사용
- eBPF 기술 악용하여 방화벽 우회 및 탐지 회피
- 포트 노출 없이 외부 서버와 통신하는 특수 기술 활용
- SK텔레콤 VPN 취약점을 통한 내부망 침투
- 침투 시점은 수개월 전으로 추정
최근 타임라인
- 2025.05.26government진행중KT, LG유플러스 직접 점검 착수SKT 해킹 사건을 조사하고 있는 민관합동조사단이 KT와 LG유플러스의 해킹 피해 여부에 대해서도 직접 점검에 착수. BPF도어 악성코드를 사용한 SKT 해킹 집단이 국내 다른 통신사에도 사이버 공격을 시도했을 것이라는 추측에 따른 조치다. 조사단은 SKT의 서버 점검에 사용한 악성코드 변종 202종에 대한 백신을 KT와 LG유플러스 서버에 적용해 감염 여부를 조사하고 있다.
- 2025.05.19investigation민관합동조사단 2차 조사 결과 발표4차에 걸친 BPFDoor 계열 악성코드 감염여부 집중 점검 결과, 현재까지 감염서버 총 23대, 악성코드 총 25종 확인 및 조치. 개인정보가 일정기간 임시로 관리되는 서버(2대)의 감염사실 확인. 단말기 고유식별번호(IMEI) 291,831건이 포함된 파일 발견.
- 2025.05.11responseSK텔레콤, 유심 재설정 설루션 도입SK텔레콤이 실물 유심 교체 없이 유심 일부 정보를 변경할 수 있는 '유심 재설정(USIM 포맷)' 설루션을 도입. 이 방식은 유심에 존재하는 '사용자 식별 정보(IMSI)'를 새 정보로 변경하여, 유출된 유심 정보로 복제를 시도해도 시스템 접속이 차단되도록 함. 기존 유심 교체와 달리 티머니, 금융인증서, 연락처 등 사용자 저장 정보가 유지되고 금융기관 재인증이 불필요하여 고객 편의성을 높임. 2025년 5월 11일 기준 유심 교체 완료 고객은 143만 명, 예약 완료 고객은 722만 명으로 집계.
법적·사회적 영향 요약
집단소송 현황
- 7개 법무법인이 집단소송 진행 (참여자 3만명 초과)
- 개인정보보호법 제39조 근거, 1인당 50~300만원 위자료 청구
- SK텔레콤 손해배상 책임보험 한도 10억원 불과
- 금융감독원, 보험사 협상 통해 한도 상향 검토중
향후 과제
- 통신사 보안 예산 증액 (SKT 600억→KT 1,218억원 수준으로)
- 과기정통부, 5월 15일까지 전 통신사 보안 인프라 특별점검
- HSS 서버 이중화 및 실시간 모니터링 시스템 도입
- 2026년 모바일 신분증 연계 통신 인프라 보안 강화
- 생체인증 또는 블록체인 기반 솔루션 도입 검토