SKT 유심 유출 — 휴대폰의 신분증이 털렸을 때

휴대폰이 「나는 이 가입자다」라고 밝히는 곳

이 글은 2025년 한국 SK텔레콤 사건을 놓고 씁니다. 2025년 4월 18일 밤 11시 20분, 국내 1위 이동통신사 SK텔레콤(SKT)은 회사 밖으로 나가는 비정상적으로 큰 데이터 전송을 감지했습니다 (민관합동조사단 최종 조사 결과). 나간 것은 휴대폰이 통신망에 자기가 누구인지 증명할 때 쓰는 정보였습니다. 사건을 조사한 쪽은 둘입니다. 통신 정책을 맡은 정부 부처인 과학기술정보통신부(과기정통부)가 민관합동조사단을 꾸렸고, 개인정보 감독 기관인 개인정보보호위원회(개인정보위)가 따로 조사해 처분을 내렸습니다 (민관합동조사단 최종 조사 결과; 개인정보위 처분 발표).

무엇이 나갔는지 알려면 휴대폰이 망에 붙는 방식부터 봐야 합니다. 유심(USIM)은 휴대폰에 꽂는 작은 칩 카드로, 이 휴대폰이 어느 가입자의 것인지 통신망에 밝히는 정보를 담고 있습니다. 그 안의 정보 가운데 둘이 이번 사건의 중심입니다. 가입자 식별번호(IMSI)는 유심에 저장돼, 통신사가 가입자를 알아볼 때 쓰는 번호입니다. 「개인정보와 익명화 — 이름을 지워도 사람은 남는다」에서 다룬 식별자, 곧 그것 하나만으로 누구인지를 가리키는 정보입니다.

식별번호가 문패라면, 그 집 사람임을 증명하는 것은 따로 있습니다. 가입자 인증키(Ki)는 유심과 통신사가 똑같이 한 벌씩 나눠 가진 비밀 값으로, 망이 이 휴대폰이 정말 그 가입자인지 확인할 때 쓰는 열쇠입니다. 기존 유심 인증은 이렇게 고정된 식별번호와 둘이 나눠 가진 비밀 하나에 기댑니다 (DOI: 10.1145/3822567).

통신사 쪽에서 그 열쇠의 짝을 쥔 곳은 코어망 안에 있습니다. 코어망(core network)은 이용자와 단말기의 인증·관리, 통화 연결, 데이터 전송을 맡는 이동통신의 핵심 네트워크입니다. 가입자 정보 서버(HSS)는 코어망 안에서 가입자의 식별번호와 인증키를 보관하고, 휴대폰이 망에 붙을 때 그 가입자가 맞는지 확인하는 인증 시스템입니다. 휴대폰이 접속을 청하면 HSS와 휴대폰에 각각 저장된 IMSI로 누구인지 찾고, 유심 인증키로 만든 인증값을 서로 맞대어 상호 인증합니다 (개인정보위 처분 발표). 과기정통부 한국어 발표는 이 서버를 「음성통화인증」 서버라 부르고, 영문 발표는 Home Subscriber Server라고 씁니다. 이름은 달라도 같은 서버입니다 (민관합동조사단 최종 조사 결과).

아파트에 빗대면 HSS는 모든 세대의 여분 열쇠를 한 함에 모아 둔 관리사무소입니다. 열쇠는 세대마다 따로지만, 그 함이 열리면 여분은 한꺼번에 나갑니다. 열쇠의 사본이 새면 걱정되는 일은 유심 복제입니다. 유심 복제(SIM cloning)는 원래 유심에 든 인증키를 손에 넣어, 망의 확인에 그 유심처럼 답하는 또 하나의 유심을 만드는 일입니다. 조사단도 이번 유출로 가입자들이 유심 복제 위험에 놓였다고 적었습니다 (민관합동조사단 최종 조사 결과).

개인정보위는 휴대전화로 본인을 확인하는 일이 일상화된 상황에서 가입자 식별번호와 유심 인증키가 대규모로 유출돼, 이동통신의 신뢰도가 떨어지고 사회적 불안이 퍼졌다고 평가했습니다 (개인정보위 처분 발표).

이 사건의 공개 문서는 세 갈래입니다. SKT의 고객 공지·보도자료·발표문은 사고를 낸 회사의 당사자 문서입니다. 과기정통부의 1차 조사 발표와 조사단의 2차·최종 발표는 정부 조사이고, 두 번의 브리핑 질의응답 녹취도 있습니다. 녹취는 공무원의 구두 답변이라 보도자료보다 약한 근거입니다. 개인정보위의 처분 발표는 규제기관의 조사 결과입니다. 이 글은 이 문서들로 세 가지를 따라갑니다. 무엇이 언제 나갔나, 두 기관은 원인을 어떻게 달리 적었나, 새어 나간 열쇠로 무엇이 가능하고 무엇이 어려운가입니다.

확인된 첫 감염, 2021년 8월

2021년 8월 6일, 인터넷과 맞닿은 시스템 관리용 서버에 원격 조종 악성코드가 설치됐습니다 (민관합동조사단 최종 조사 결과). 악성코드는 「보안 — 남이 못 보고, 몰래 바뀌지 않고, 필요할 때 열리는 것」에서 다룬, 사용자 몰래 해를 끼치려고 만든 프로그램입니다. 조사단은 이 날짜에 「조사 과정에서 확인된 감염서버 중 가장 빠른 시기」라는 한정어를 붙였습니다 (민관합동조사단 최종 조사 결과).

2021년 연말, 공격자는 관리 서버의 계정 정보를 써서 HSS 관리 서버에 들어갔고, 그 서버와 HSS들에 BPFDoor를 심었습니다 (민관합동조사단 최종 조사 결과). BPFDoor는 오래 숨어 있도록 만든 원격 조종 악성코드입니다. 과기정통부는 이것을 리눅스에 내장된 네트워크 감시·걸러 내기 기능을 악용해 해커의 통신을 알아채기 어렵게 만드는 은밀한 뒷문이라고 설명했습니다 (과기정통부 1차 조사 발표).

2022년 2월 23일, 서버가 비정상적으로 재부팅됐습니다. SKT는 해당 서버들을 점검해 악성코드를 지웠지만, 법에 정한 침해사고 신고를 하지 않았습니다. HSS 관리 서버의 수상한 로그인 시도를 살필 때는 로그 파일 6개 가운데 1개만 확인해 공격자의 접속 흔적을 놓쳤습니다 (민관합동조사단 최종 조사 결과). 조사단은 그 결과 HSS에서 BPFDoor를 확인하지 못했고, 신고가 없었으니 정부가 조사로 악성코드를 찾아 조치할 수도 없었다고 적었습니다 (민관합동조사단 최종 조사 결과). 개인정보위는 같은 시점을 이렇게 적었습니다. SKT가 2022년 2월 해커가 HSS에 접속한 사실을 확인하고도 비정상 통신이나 추가 악성코드를 점검하지 않아, 이번 유출을 미리 막을 기회를 놓쳤다는 것입니다 (개인정보위 처분 발표).

그 뒤에도 공격자는 남았습니다. 조사단은 2022년 6월에 공격자가 고객 관리망 서버로 거점을 넓힌 것으로 추정했습니다 (민관합동조사단 최종 조사 결과). 2023년 11월 30일부터 2025년 4월 21일까지는 만료 기한이 없고 몇 해째 바뀌지 않은 관리자 비밀번호로 주기적으로 다시 들어와 악성코드를 새로 심고 고쳤습니다 (민관합동조사단 최종 조사 결과). 그리고 2025년 4월 18일, 오래 쓰인 그 계정 정보로 HSS 3대에 접근해 유심 데이터 9.82GB를 압축해 밖으로 내보냈습니다 (민관합동조사단 최종 조사 결과).

확인된 유심 데이터 유출은 4월 18일이었지만, 문서가 확인한 침입만 따져도 2021년 8월부터 2025년 4월까지 이어졌습니다. 그사이 2022년 2월의 대응은 두 기관이 모두 문제로 적었습니다.

4월 18일 밤부터 열흘

알아챈 시각은 문서마다 다릅니다. 조사단에 따르면 SKT는 4월 18일 오후 11시 20분에 비정상적으로 큰 외부 전송을 감지했고, 4월 20일 오후 4시 46분에 법정 신고를 받는 한국인터넷진흥원(KISA)에 신고했습니다. 조사단은 이것이 법정 신고 기한 24시간을 넘겼다고 판단했습니다 (민관합동조사단 최종 조사 결과). 4월 22일 SKT가 낸 고객 공지는 당사자의 설명입니다. 4월 19일 오후 11시경 악성코드로 유심 관련 일부 정보가 유출된 것으로 의심되는 정황을 발견했고, KISA를 포함한 유관기관에 「즉시」 신고했으며, 악성코드를 즉시 삭제하고 의심 장비를 격리했다고 적었습니다. 실제로 악용된 사례는 아직 확인되지 않았다고도 했습니다 (SKT 고객 공지). 개인정보위는 SKT가 4월 19일 오후 11시 40분에 개인정보 유출 사실을 알았고, 4월 22일 개인정보위에 유출을 신고했다고 적었습니다 (개인정보위 처분 발표). 세 문서는 무엇을 알아챘는지의 기준이 다릅니다. 하나는 이상한 대량 전송, 하나는 유출 정황, 하나는 개인정보 유출입니다. 「즉시」는 SKT의 표현이고, 조사단은 같은 신고를 기한 위반으로 봤습니다.

조사도 처음부터 순탄하지 않았습니다. 과기정통부가 4월 21일 오후 5시 42분에 자료보전 명령을 내렸는데, 같은 날 오후 7시 52분까지 SKT가 서버 2대를 조사용 사본(포렌식 이미지)을 뜰 수 없는 상태로 바꿨습니다. 조사단은 이를 수사 의뢰하겠다고 밝혔습니다 (민관합동조사단 최종 조사 결과). 과기정통부는 4월 23일 조사단을 꾸렸습니다 (민관합동조사단 최종 조사 결과). 개인정보위는 4월 22일 신고를 받은 당일 KISA와 집중조사 TF를 만들었고, 조사관들이 약 3개월 동안 현장에 상주했습니다 (개인정보위 처분 발표).

고객 쪽 대책은 두 갈래였습니다. SKT는 4월 25일, 4월 28일 오전 10시부터 원하는 모든 고객에게 유심을 무료로 바꿔 주겠다고 발표했습니다. 기기에 내장된 유심인 eSIM도 포함하고, 4월 18일 24시 기준 가입자에게 한 번씩입니다 (SKT 보도자료). 다른 하나는 유심보호서비스입니다. SKT 설명으로는 유심 정보를 탈취해 복제하더라도 다른 기기에서 고객 명의로 통신에 접속하는 것을 막는 서비스입니다 (SKT 대고객 발표문). 가입은 몰려 4월 27일 오후 6시에는 554만 명이 됐고, 같은 날 SKT가 밝힌 유심 재고는 약 100만 개였습니다 (SKT 대고객 발표문). SKT는 나중에 6월 19일 예약한 약 900만 고객의 유심을 모두 바꿨다고 밝혔습니다 (SKT 「책임과 약속」 발표).

몇 대, 몇 종, 몇 건

조사는 넓어지면서 숫자를 바꿨습니다. 4월 29일 1차 발표는 침해 정황이 있는 서버 5대를 조사해, 전화번호와 IMSI 등 유심 복제에 쓰일 수 있는 고객 정보 4종 등의 유출을 확인하고 BPFDoor 변종 4종을 찾았습니다 (과기정통부 1차 조사 발표). 5월 19일 2차 발표는 리눅스 서버 약 3만 대를 네 차례 점검해(세 차례는 SKT 자체 점검을 조사단이 검증) 감염 서버 23대와 악성코드 25종을 찾았고, 그중 8대는 아직 분석 중이었습니다 (민관합동조사단 2차 발표). 7월 4일 최종 발표는 SKT의 전체 서버 42,605대를 점검해 감염 서버 28대와 악성코드 33종을 확인했습니다 (민관합동조사단 최종 조사 결과).

유출 규모는 단위가 문서마다 다릅니다. 2차 발표는 유출된 유심 데이터가 9.82GB이고 IMSI 기록이 26,957,749건이라고 적었습니다 (민관합동조사단 2차 발표). 최종 발표는 IMSI를 비롯한 유심 데이터 25종, 9.82GB, 약 2,696만 건으로 적었습니다 (민관합동조사단 최종 조사 결과). 여기까지의 단위는 기록 건수입니다.

개인정보위는 사람을 셌습니다. 휴대전화번호와 IMSI 기준으로는 약 2,696만 건이지만, 법인·공공회선과 한 사람이 여러 회선을 가진 경우 등을 빼고 이용자로 다시 셌습니다. 그렇게 해서 알뜰폰을 포함한 LTE·5G 전체 이용자 23,244,649명의 휴대전화번호, IMSI, 유심 인증키 등 25종의 정보가 유출됐다고 확인했습니다 (개인정보위 처분 발표). 이 숫자의 단위는 중복을 뺀 사람입니다. 개인정보위는 따로 인증키도 셌습니다. SKT는 유심 인증키 26,144,363건을 암호화하지 않고 평문으로 HSS 데이터베이스 등에 저장했고, 해커는 유심 복제에 쓰일 수 있는 이 인증키를 원본 그대로 손에 넣었습니다 (개인정보위 처분 발표). 평문은 「암호화 — 내용은 잠가도 드나든 기록은 남는다」에서 다룬, 암호를 걸기 전의 누구나 읽을 수 있는 원래 내용입니다.

약 2,696만 건은 기록, 23,244,649명은 사람, 26,144,363건은 인증키를 센 숫자입니다. 셋은 서로 바꿔 부를 수 없습니다.

단말기 고유번호 — 「없다」에서 「알 수 없다」로

IMSI가 유심을 가리킨다면, 기기를 가리키는 번호는 따로 있습니다. 단말기 고유번호(IMEI)는 휴대폰 기기 하나하나를 알아볼 때 쓰는 번호입니다. 4월 29일 1차 발표의 영문 제목은 「IMEI 유출 없음 확인」이었고, 본문도 이번 침해에서 단말기 고유번호는 유출되지 않았다고 확인했습니다 (과기정통부 1차 조사 발표).

5월 19일 2차 발표는 그 근거와 이후의 발견을 함께 적었습니다. 1차 때는 IMEI를 저장한다고 알려진 서버 38대를 먼저 점검해 감염되지 않았음을 확인했습니다. 그런데 이후 분석에서, SKT의 통합 고객 인증 시스템과 연동된 감염 서버 일부에 IMEI 291,831건이 든 파일이 임시로 저장돼 있었음이 드러났습니다 (민관합동조사단 2차 발표).

최종 발표는 범위를 더 정확히 적었습니다. 감염 서버 가운데 2대에는 IMEI와 함께 이름·생년월일·전화번호·이메일이, 1대에는 통화기록이 평문으로 임시 저장돼 있었습니다. 방화벽 로그가 남은 기간, 곧 IMEI는 2024년 12월 3일부터 2025년 4월 24일까지, 통화기록은 2024년 12월 9일부터 2025년 4월 20일까지는 유출 흔적이 없었습니다. 로그가 없는 기간, 곧 IMEI는 2022년 6월 15일부터 2024년 12월 2일까지, 통화기록은 2023년 1월 31일부터 2024년 12월 8일까지는 유출을 배제할 수 없다고 적었습니다 (민관합동조사단 최종 조사 결과). 로그가 짧았던 데도 이유가 있었습니다. SKT 규정은 방화벽 로그를 6개월 보관하게 돼 있었지만 실제로는 4개월만 보관해, 조사단이 유출을 추적하는 데 한계가 생겼습니다 (민관합동조사단 최종 조사 결과).

브리핑의 말도 같은 방향으로 움직였습니다. 5월 2차 브리핑에서 과기정통부 네트워크정책실장은 IMEI 15자리만으로는 제조사가 가진 단말별 인증키 없이 복제폰을 만드는 것이 「물리적으로」 불가능하다는 판단이고, 이를 제조사로부터 확인했다고 답했습니다 (2차 발표 브리핑). 7월 최종 브리핑에서는 제조사들은 불가능하다는 입장이라는 단서를 달면서도, IMEI가 유출돼도 단말기 복제가 「100% 불가능하다는 말씀드리기는 어려울 것 같다」고 답했습니다 (최종 발표 브리핑).

「유출 없음 확인」은 그때 점검한 서버 범위의 결론이었고, 범위가 넓어지자 로그가 없는 기간은 확인할 수 없는 기간으로 남았습니다.

두 기관이 적은 원인

당사자 SKT의 두 발표문은 원인을 따로 설명하지 않았습니다. 4월 25일 SKT 대표 유영상의 발표문은 사고의 원인과 규모에 대한 정부 조사가 「이제 시작된 상황」이라고 했고 (SKT 대표 발표문), 7월 4일 SKT는 조사단의 결과를 「엄중하게 받아들인다」고 밝혔습니다 (SKT 「책임과 약속」 발표).

조사단은 근본 원인을 셋으로 꼽았습니다. 계정 정보 관리 부실, 2022년 2월 침해에 대한 대응 미흡, 주요 정보의 암호화 미흡입니다 (민관합동조사단 최종 조사 결과). 계정 정보에서는 2021년 12월에 감염된 HSS 관리 서버의 것까지 서버 로그인 아이디와 비밀번호를 평문으로 다른 서버에 저장해 둔 것을 들었습니다 (민관합동조사단 최종 조사 결과). 암호화에서는 유심 인증키를 평문으로 저장한 것이 세계 이동통신 사업자 협회(GSMA)의 권고와 KT·LG유플러스의 관행에 어긋났다고 적었습니다 (민관합동조사단 최종 조사 결과). 저장 중 암호화, 곧 서버에 보관된 데이터를 보관되는 동안 잠가 두는 일이 이 키에는 없었다는 뜻입니다. 조사단은 관리 구조도 들었습니다. 정보보호 최고책임자는 IT 영역(자산의 57%)만 맡고 네트워크 영역(43%)은 따로 관리됐습니다. 가입자 100만 명당 정보보호 인력은 15명, 투자액은 SK브로드밴드를 포함해 37.9억 원으로 통신사 평균인 17.7명·57.4억 원보다 작았습니다 (민관합동조사단 최종 조사 결과).

개인정보위는 이번 사고가 SKT의 「기본적인 보안 조치 미비와 관리 소홀」로 일어났다고 결론지었습니다 (개인정보위 처분 발표). 계정 정보와 암호화는 조사단과 같이 들었고, 조사단의 원인 목록에 없는 것을 더 들었습니다. 첫째는 망을 나누지 않은 것입니다. SKT는 인터넷·관리·코어·사내망을 같은 네트워크로 연결해 운영하면서 국내외 인터넷에서 내부 관리망 서버로 들어오는 접근을 제한 없이 허용했고, HSS와 이어질 필요가 없는 관리망 서버의 접속도 허용했습니다 (개인정보위 처분 발표). 둘째는 패치입니다. 패치는 「보안 — 남이 못 보고, 몰래 바뀌지 않고, 필요할 때 열리는 것」에서 다룬, 이미 내놓은 프로그램의 취약점을 고쳐 다시 내보내는 수정본입니다. 악성코드 설치에 쓰인 운영체제 취약점은 2016년 10월에 보안 경보와 패치가 공개됐는데, SKT는 이를 알고도 2016년 11월 그 취약점을 가진 운영체제를 설치했고 2025년 4월 유출 때까지 업데이트하지 않았습니다 (개인정보위 처분 발표). 셋째는 백신입니다. 적어도 2020년부터 상용 백신 프로그램들이 그 취약점의 실행을 탐지하고 있었지만, SKT는 2025년 4월까지 설치하지 않았고 그것을 대신할 보안 조치도 소홀히 했습니다 (개인정보위 처분 발표).

개인정보위가 든 나머지도 같은 결입니다. 서버 약 2,365개의 계정정보가 든 파일을 암호 설정 없이 관리망 서버에 두었고, HSS에서는 비밀번호 입력 같은 인증 절차 없이도 개인정보를 조회할 수 있었습니다 (개인정보위 처분 발표). 2022년경 언론에서 유심 복제 문제가 나오자 SKT는 인증키 암호화를 검토하며 다른 통신사들이 이미 여러 해 전부터 암호화해 저장한다는 것을 확인했지만 조치하지 않았습니다 (개인정보위 처분 발표). 개인정보 보호책임자의 역할은 웹·앱 같은 IT 영역에 한정돼, 사고가 난 인프라 영역은 처리 실태조차 파악되지 않았습니다 (개인정보위 처분 발표).

두 목록은 서로를 부정하지 않습니다. 다만 망 분리, 2016년부터 미뤄진 패치, 백신, HSS의 무인증 조회, 개인정보 보호책임자의 범위는 개인정보위 쪽에만 있습니다. 두 기관이 든 원인은 대부분 몇 해씩 이어진 상태였습니다. 개인정보위도 위반이 2년 이상 이어졌다고 봤습니다 (개인정보위 처분 발표).

새어 나간 열쇠로 할 수 있는 일

유심 복제, 곧 인증키로 그 유심처럼 답하는 또 하나의 유심을 만드는 일은 「비밀번호와 패스키 — 내가 나라는 걸 어떻게 증명하나」에서 다룬 유심 교체 공격과 다릅니다. 유심 교체 공격은 공격자가 통신사를 움직여 피해자의 전화번호를 공격자가 쥔 유심으로 옮기게 하는 공격입니다. 교체 공격이 통신사를 속여 번호를 옮겨 가는 일이라면, 복제는 열쇠를 베껴 같은 가입자의 유심을 하나 더 만드는 일입니다.

그 열쇠는 원래 칩 안에서 지켜집니다. 칩 속 키를 빼낸 실험실 연구 두 편은 카드를 손에 쥐고 칩이 계산하는 동안 새어 나오는 신호를 재야 했습니다. 2세대 이동통신(GSM)의 일부 SIM 카드 구현에서 이런 측정으로 키를 되찾았습니다 (DOI: 10.1109/secpri.2002.1004360). 여러 통신사와 제조사의 3G/4G 유심에서도 전력 측정으로 복제에 필요한 키와 비밀을 몇 분 안에 되찾았고, 저자들은 물리적 보안 문제를 개발 초기에 적절한 대응책으로 풀어야 할 장기 과제라고 결론지었습니다 (DOI: 10.1007/978-3-319-24174-6_24). 카드를 손에 넣지 않고 GSM 통신의 약점을 이용해 무선으로 복제하는 과정을 보인 연구도 있습니다. 이 연구는 3G 이후의 유심이 GSM보다 복제에 강하지만 특정 조건에서는 여전히 취약하다고 적었습니다 (DOI: 10.1109/socialcom.2013.161).

이번에는 칩을 건드릴 필요가 없었습니다. HSS 데이터베이스 등에 평문으로 있던 인증키 26,144,363건을 해커는 원본 그대로 손에 넣었습니다 (개인정보위 처분 발표). 칩 안에서 키를 지키는 설계는 칩을 노리는 공격에 대한 방어였고, 같은 키의 사본은 HSS 등에 평문으로 있었습니다.

IMSI만 새는 것과 인증키까지 새는 것은 무게가 다릅니다. 4G 인증 절차에서 IMSI는 서비스를 받으려고 암호 없이 오가는 값이고, 노출되면 그 가입자의 사생활이 위험해지고 특정 가입자를 겨냥한 공격의 발판이 될 수 있습니다 (DOI: 10.1109/compsac.2016.108). 설계부터 비밀로 지키는 것은 인증키 쪽입니다. 유심을 바꾸면 통신사 서버도 새 유심에 든 새 인증키로 확인하므로, 새어 나간 옛 키로 만든 복제 유심은 더는 통하지 않습니다.

문서가 말한 가능성은 이렇습니다. 과기정통부는 인증키가 노출되면 제3자가 유심을 복제해, 다른 보호 장치가 없다면 가입자의 번호로 전화를 걸거나 걸려 온 전화와 문자를 가로챌 수 있다고 적었습니다 (민관합동조사단 최종 조사 결과). 최종 브리핑에서 과기정통부는 이 문장이 보호조치가 없었다면이라는 가정이라고 설명하고, 2021년 다른 한 회사의 사고에서 유심을 복제해 고객이 잠든 사이 다른 단말기에 꽂아 범죄를 저지른 일이 있었다고 구두로 언급했습니다. 회사 이름은 밝히지 않았습니다 (최종 발표 브리핑). 같은 브리핑에서 과기정통부는 추가 조사에서도 복제로 인한 피해의 실마리는 찾지 못했다고 답했습니다 (최종 발표 브리핑). 2차 발표 시점까지 다른 통신사와 주요 플랫폼, 공공 부문을 점검한 결과 민간과 공공 모두 신고된 피해는 없었습니다 (민관합동조사단 2차 발표).

보호 장치의 효과는 시점에 따라 다르게 적혔습니다. SKT는 4월 27일 유심보호서비스가 「유심교체와 동일한 피해예방 효과」를 가지며 피해가 생기면 100% 책임지겠다고 했고 (SKT 대고객 발표문), 그 앞서 비정상 인증 시도를 막는 부정사용방지시스템(FDS)의 강화가 「사실상 유심교체와 동일한 효과」를 지닌다고 했습니다 (SKT 보도자료). 과기정통부 1차 발표도 유심보호서비스가 비슷한 예방 효과를 준다며 유심 교체나 서비스 가입을 권했고, 예약 시점부터 SKT가 100% 책임지라고 촉구했습니다 (과기정통부 1차 조사 발표). 최종 발표는 유출 당시를 따로 봤습니다. 그때 SKT에는 FDS 1.0과 유심보호서비스가 있었지만, 서비스 가입자는 약 5만 명이었고 FDS 1.0은 모든 형태의 유심 복제를 막지는 못했습니다. 조사단은 이를 근거로 SKT가 유심 정보를 지켜 안전한 서비스를 제공할 주된 의무를 다하지 못했다고 판단했습니다 (민관합동조사단 최종 조사 결과). 최종 브리핑에서 과기정통부는 FDS 고도화가 5월 18일에 끝났다고 답했습니다 (최종 발표 브리핑). 4월의 「동일한 효과」는 사고 뒤 강화하고 가입을 늘린 상태에 대한 말이고, 최종 판단은 유출 당시의 상태에 대한 말입니다.

늦은 통지와 처분

신고와 통지는 다른 의무입니다. 신고는 정부에, 통지는 피해자에게 합니다. 조사단에 따르면 2024년 8월 14일부터는 침해사고를 24시간 안에 신고해야 하고, 그 전에는 「즉시」 신고하게 돼 있었습니다. 감염 서버 2대는 아예 신고되지 않았습니다. 조사단은 이번 신고의 기한 초과와 이 미신고가 3천만 원 이하 과태료 대상이라고 적었습니다 (민관합동조사단 최종 조사 결과).

유출 통지는 「Equifax 유출 — 맡긴 적 없는 정보가 털린 다음」에서 다룬, 개인정보가 새어 나간 회사가 그 정보의 주인들에게 그 사실을 알리는 일입니다. 개인정보위는 SKT가 4월 19일 오후 11시 40분에 유출 사실을 알았고 4월 25일경 규모를 확인했는데도 법정 72시간 안에 이용자에게 통지하지 않았다고 판단했습니다. 개인정보위가 5월 2일 즉시 통지하라고 긴급 의결했지만, SKT는 5월 9일 유출 「가능성」을 통지했고 7월 28일에야 유출 「확정」을 통지했습니다 (개인정보위 처분 발표).

처분은 8월 28일에 나왔습니다. 안전조치 의무 위반에 과징금 1,347억 9,100만 원, 통지 지연에 과태료 960만 원입니다. 개인정보위는 「매우 중대한 위반행위」로 판단했고, 위반이 2년 이상 이어진 점 등으로 일부 가중하고 시정과 피해 회복 노력으로 일부 감경했습니다 (개인정보위 처분 발표). 개인정보 보호책임자가 회사 전체를 총괄하도록 거버넌스를 정비하고 재발방지 대책을 3개월 안에 세워 보고하라는 시정명령과 함께, 사고가 난 이동통신 네트워크·시스템에 정보보호·개인정보보호 관리체계 인증(ISMS-P)을 받으라는 개선권고도 냈습니다 (개인정보위 처분 발표). 집단·개인 분쟁조정 신청도 접수돼 있었고, 조사 중이라 멈춰 있던 조정은 처분 뒤 다시 진행할 예정이었습니다 (개인정보위 처분 발표).

과기정통부의 판단은 계약 쪽이었습니다. SKT의 과실과 「안전한 통신 서비스 제공」이라는 주된 계약상 의무 위반이 인정돼, 이용약관이 정한 위약금 면제 사유인 회사의 귀책에 해당한다고 봤습니다. 법률 자문 5곳 가운데 4곳이 SKT의 과실로 판단했고, 1곳은 정보가 부족하다며 판단을 유보했습니다. 과기정통부는 이 판단이 SKT와 이번 사고에 한정되며 모든 사이버 사고의 선례가 아니라고 밝혔습니다 (민관합동조사단 최종 조사 결과). 같은 날 SKT는 4월 18일 24시 기준 약정 고객 가운데 사고 뒤 해지했거나 7월 14일까지 해지할 고객의 위약금을 면제하고, 요금 할인 등 5천억 원 규모의 고객 감사 패키지, 5년간 7천억 원의 정보보호 투자, 정보보호 최고책임자의 대표 직속 배치를 발표했습니다 (SKT 「책임과 약속」 발표). 과기정통부는 SKT가 2025년 8~10월에 이행계획을 실행하고 11~12월에 현장 점검을 받게 했습니다 (민관합동조사단 최종 조사 결과).

이 처분은 바뀐 법 아래에서 나왔습니다. 한 법학 논문은 2023년 전면 개정된 개인정보 보호법이 유출 제재를 형벌 중심에서 경제적 제재 중심으로 옮겼고, 과징금 상한을 「위반행위 관련 매출액」에서 「전체 매출액의 3%」로 넓혔다고 정리합니다. 이 논문은 SKT 사건을 과징금·과태료·시정명령과 피해자 손해배상책임이 겹치는 전형적 사례로 평가하면서, 안전조치 의무 위반 자체를 형사처벌하기는 어려워진 반면 경제적 제재와 징벌적 손해배상으로 억지력이 일정 부분 보완되고 있다고 봤습니다. 다만 과징금 강화만으로는 대규모 유출을 막기에 충분하지 않으며 경영진과 개인정보 보호책임자의 책임, 보안 인력·예산, 핵심 정보 암호화, 신속한 신고가 함께 가야 한다고 결론지었습니다 (DOI: 10.57057/lawreview.2026.3.26.1.253).

2022년 2월의 미신고와 이어지는 연구도 있습니다. 당국 신고 의무를 다룬 경제 모형 연구는 회사가 스스로 신고할 유인이 적고, 감사로는 숨긴 것과 몰랐던 것을 구별할 수 없다고 가정합니다. 그래서 낙관적인 가정 아래서도 신고 의무가 사회적 이득을 내도록 제재 수준을 맞추기 어려울 수 있다고 예측했습니다 (DOI: 10.1093/cybsec/tyw002). 이번 사건을 잰 연구가 아니라 이론 모형입니다. 유출 뒤 회사가 치르는 값도 있습니다. 예기치 못한 기업 유출 뒤에는 평판 손실이 주식과 브랜드 가치를 떨어뜨리고 고객 이탈을 늘렸고, 회사들은 기부와 IT 투자 등을 늘려 평판을 고쳤습니다 (DOI: 10.1093/rof/rfag009). 미국 상장사의 유출 대응에서는 보상이 사과보다 더 효과적이라는 결과가 나오지 않았고, 대응 전략의 효과는 대응 시점에 따라 달랐습니다 (DOI: 10.25300/misq/2022/16609). 두 연구 모두 다른 회사들을 잰 것이고, SKT의 위약금 면제와 투자 약속이 어떤 결과를 냈는지는 이 글이 본 문서와 연구에 없습니다.

아직 모르는 것

로그가 없는 기간이 남아 있습니다. 그 기간의 IMEI와 통화기록 유출은 배제할 수 없다고 조사단은 적었습니다 (민관합동조사단 최종 조사 결과).

공격한 쪽은 문서에 나오지 않습니다. 어느 문서도 공격 주체를 밝히지 않았고, 2차 브리핑에서 조사단은 공격 주체는 경찰이 추적하고 정보기관이 조사하는 부분이라 조사단이 특정 주체를 말하는 것은 타당하지 않다고 답했습니다 (2차 발표 브리핑).

복제 피해에 대해 최종 브리핑의 답은 실마리를 찾지 못했다는 것이었지만, 같은 브리핑에서 과기정통부는 기술적인 부분을 100% 장담하기는 어려워 모니터링을 계속하고 있다고도 답했습니다 (최종 발표 브리핑). 분쟁조정의 결과와 과기정통부의 11~12월 현장 점검 결과는 이 글이 본 문서들이 나온 뒤의 일입니다.

열쇠의 사본은 어디에 있었나

휴대폰이 「나는 이 가입자다」를 증명하는 열쇠는 주머니 속 칩과 통신사 서버에 한 벌씩 있었고, 이번에 열린 것은 서버 쪽이었습니다. 칩 속 키를 노린 실험실 연구 가운데 두 편은 카드를 손에 쥐어야 했고, 다른 한 편은 무선으로 복제하는 과정을 보였습니다. 이번에는 칩을 건드릴 필요가 없었습니다. 서버 쪽 사본이 평문으로 HSS 등에 저장돼 있었습니다. 그 서버가 열리기까지를 두고 조사단은 바뀌지 않은 관리자 비밀번호와 평문으로 둔 계정·키, 신고되지 않은 2022년의 침입을 들었고, 개인정보위는 여기에 나누지 않은 망과 2016년부터 미뤄진 패치를 더했습니다.

개인정보위가 이 사고를 무겁게 본 이유도 열쇠의 쓰임에 있었습니다. 휴대전화가 본인 확인의 핵심 수단이 된 사회에서, 그 확인의 바탕이 되는 정보가 대규모로 나갔다는 것입니다 (개인정보위 처분 발표). 한 번 쓰거나 짧은 시간이 지나면 더는 통하지 않는 일회용 코드를 문자로 받는 로그인이 왜 그 번호에 기대는지는 「비밀번호와 패스키 — 내가 나라는 걸 어떻게 증명하나」와 「2단계 인증의 한계 — 두 번째 문은 어떤 손님 앞에서 열리나」에 있고, 서버에 보관된 데이터를 잠가 두는 일은 「암호화 — 내용은 잠가도 드나든 기록은 남는다」에 있습니다.

사건 자료

• "사이버 침해사고 관련 안내" (2025-04-22) — https://www.sktelecom.com/notice/notice_detail.do?index=411 — 당사자 SKT의 최초 대고객 공지. 인지 시각·신고·초기 조치·유심보호서비스 안내(2026년 10월 재접속 시 본문이 뜨지 않아 받아 둔 사본 기준).
• "SKT, 사이버 침해 사고 불안 해소 위한 고객보호 조치 강화…유심 무료 교체 포함" (2025-04-25) — https://news.sktelecom.com/211563 — 당사자 보도자료. 유심 무료 교체 발표, 유심보호서비스 가입 수, FDS 강화 주장.
• "고객 정보 보호조치 발표문 전문" (2025-04-25) — https://news.sktelecom.com/213019 — 유영상 SKT 대표의 언론 설명회 발표문. 사과와 조치 설명, 원인은 정부 조사로 넘김.
• "대고객 발표문" (2025-04-27) — https://news.sktelecom.com/211644 — 당사자. 유심보호서비스의 원리와 「유심교체와 동일한 피해예방 효과」·「100% 책임」 주장, 유심 재고.
• "SKT, 고객 신뢰 회복 위한 '책임과 약속' 프로그램 발표" (2025-07-04) — https://news.sktelecom.com/213571 — 당사자. 위약금 면제·고객 감사 패키지·정보보호 투자 계획, 유심 교체 완료 현황.
• "MSIT Releases First Investigation Results on SKT Data Breach — No IMEI Leak Confirmed" (2025-04-29) — https://www.msit.go.kr/eng/bbs/view.do?nttSeqNo=1111&bbsSeqNo=42 — 과기정통부 1차 조사 발표(영문). 서버 5대 조사, 유출 정보 종류, BPFDoor 설명, IMEI 유출 없음.
• "민관합동조사단, SKT 침해사고 조사결과 2차 발표" (2025-05-19) — https://www.msit.go.kr/bbs/view.do?sCode=user&nttSeqNo=3185809&bbsSeqNo=94&mId=307&mPid=208 (영문판 https://www.msit.go.kr/eng/bbs/view.do?nttSeqNo=1121&bbsSeqNo=42) — 감염 서버 23대·악성코드 25종, IMSI 기록 건수, IMEI 임시 파일 발견, 다른 사업자 점검.
• "SKT 침해사고 관련 민관합동조사단 중간 조사 결과" 브리핑 전문 (2025-05-19) — https://www.korea.kr/briefing/policyBriefingView.do?newsId=156689741 — 2차 발표 질의응답 녹취(구두). IMEI와 복제폰, 공격 주체에 대한 답변.
• "SK텔레콤 침해사고 최종 조사결과 발표" (2025-07-04) — https://www.msit.go.kr/bbs/view.do?sCode=user&nttSeqNo=3185964&bbsSeqNo=94&mId=307&mPid=208 (영문판 https://www.msit.go.kr/eng/bbs/view.do?nttSeqNo=1139&bbsSeqNo=42) — 민관합동조사단 최종 결과. 침입 경과, 감염 서버 28대·악성코드 33종, 3대 원인, 로그 공백, 위약금 면제 판단, 후속 조치.
• "SK텔레콤 침해사고 최종 조사결과 발표" 브리핑 전문 (2025-07-04) — https://www.korea.kr/briefing/policyBriefingView.do?newsId=156721622 — 최종 발표 질의응답 녹취(구두). 복제 가정의 뜻, 피해 실마리, IMEI 복제 가능성, FDS 고도화.
• "개인정보위, 'SK텔레콤 개인정보 유출사고' 제재처분 의결" (2025-08-28) — https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=11453 — 개인정보위 조사·처분. 이용자 수·평문 인증키 건수, 망 분리·패치·백신 등 위반, 통지 지연, 과징금·과태료·시정명령, 분쟁조정 현황.

근거 논문

• "SafeSIM: SIM Card Authentication Framework Enhancement Using Zero-Knowledge Protocols and PUFs" (2026) — DOI: 10.1145/3822567 — 기존 유심 인증은 고정 식별자(IMSI)와 공유 비밀(인증키 Ki)에 기댄다. 영지식 증명과 복제 불가 하드웨어 함수로 대체하는 틀을 제안.
• "Partitioning attacks: or how to rapidly clone some GSM cards" (2005) — DOI: 10.1109/secpri.2002.1004360 — GSM 인증 알고리즘 COMP128의 여러 SIM 카드 구현에서 부채널 공격(분할 공격)으로 128비트 키를 되찾음. 자원 효율적 대응책 제안.
• "Small Tweaks Do Not Help: Differential Power Analysis of MILENAGE Implementations in 3G/4G USIM Cards" (2015) — DOI: 10.1007/978-3-319-24174-6_24 — 여러 통신사·제조사의 3G/4G 유심에서 차분 전력 분석으로 복제에 필요한 키를 몇 분 안에 되찾음. 물리 보안은 개발 초기에 대응책으로 풀어야 할 장기 과제.
• "GSM OTA SIM Cloning Attack and Cloning Resistance in EAP-SIM and USIM" (2013) — DOI: 10.1109/socialcom.2013.161 — GSM 통신의 약점을 이용한 무선(OTA) SIM 복제의 요건과 과정을 물리적 복제와 비교해 보임. USIM은 GSM보다 복제에 강하지만 특정 조건에서는 여전히 취약.
• "Enhanced User Security and Privacy Protection in 4G LTE Network" (2016) — DOI: 10.1109/compsac.2016.108 — 4G 인증 절차에서 IMSI가 서비스를 받으려고 평문으로 전송되며, 노출은 사생활 위험과 특정 가입자를 겨냥한 공격으로 이어질 수 있다. 공개키 기반 보완 제안.
• "A Study on Criminal Liability and Administrative Sanctions for Personal Information Breach -Focusing on the Revised Personal Information Protection Act and the SK Telecom Breach Case-" (2026) — DOI: 10.57057/lawreview.2026.3.26.1.253 — 2023년 개정법의 경제적 제재 중심 전환과 과징금 상한 확대를 SKT 사건에 적용한 법학 분석. 과징금 강화만으로는 불충분, 거버넌스·암호화·신속 신고 병행 필요.
• "The economics of mandatory security breach reporting to authorities" (2016) — DOI: 10.1093/cybsec/tyw002 — 주인-대리인 모형. 감사로 은폐와 무지를 구별할 수 없어, 신고 의무가 사회적 이득을 내도록 제재 수준을 맞추기 어려울 수 있다.
• "Hacking corporate reputations" (2026) — DOI: 10.1093/rof/rfag009 — 예기치 못한 기업 유출 뒤 평판 손실이 주식·브랜드 가치를 낮추고 고객 이탈을 늘림. 기업은 기부·CSR·IT 투자 등으로 평판을 회복.
• "An Empirical Investigation of Company Response to Data Breaches" (2022) — DOI: 10.25300/misq/2022/16609 — 미국 상장사 대응 편지 204건·설문 811명·사건 연구 166건. 보상이 사과보다 더 효과적이라는 결과는 없었고, 효과는 대응 시점에 따라 달랐으며 부정적 효과는 6개월 뒤 사라짐.