SKテレコム、2300万人のユーザーに影響するSIMデータ漏洩で過去最高の1348億ウォンの罰金

韓国最大の通信事業者で2300万人の加入者を持つSKテレコムは、2025年8月28日、過去最高の1348億ウォン（9720万ドル）のプライバシー罰金を科された。個人情報保護委員会（PIPC）はこれを個人情報保護法の下で科された過去最大の制裁金とし、「基本的なセキュリティの失敗とずさんな管理」を理由に挙げた。

侵害は早くも2021年に始まり、攻撃者は4年間にわたりSKテレコムのネットワーク内で検知されずにいた。2025年4月にハッキングが公表された際、攻撃者がLTEおよび5G加入者の25カテゴリの個人データにアクセスしていたことが明らかになった。これには電話番号、国際移動体加入者識別番号（IMSI）、端末識別子（IMEI）、USIM認証キーが含まれていた。

PIPCの調査により、SKテレコムがインターネット、管理、内部の各ネットワークを外部アクセスを制限せずに同一システム上に接続していたことが判明した。管理サーバーは、侵害が発生したホーム加入者サーバー（HSS）に不必要に接続されていた。同社は2610万件のSIM認証キーを暗号化せず、平文のデータベースに保存していた。侵入検知ログを無視し、2016年のものを含む利用可能なセキュリティパッチを適用していなかった。最高プライバシー責任者の役割はITサービスに限定され、通信インフラは監督の対象外となっていた。

この侵害により、SKテレコムは全2300万人の加入者を対象とした無料のUSIMカード交換プログラムを開始せざるを得なくなり、全国でSIMカードの一時的な不足を引き起こし、政府の調査を招いた。この過去最高の罰金は、これまでこの規模のプライバシー制裁を受けたことのない韓国の通信業界に衝撃を与えた。

SIMキーは暗号化されずに保存され、パッチも適用されなかったため、攻撃者は4年間にわたり徘徊した。過去最高の1348億ウォンの罰金は、その怠慢に対する請求書だった。

SKテレコムはインターネット、管理、内部の各ネットワークを外部アクセスを制限せずに同一システム上に接続し、攻撃者がインターネットから中核の加入者データベースへ横移動することを可能にした

同社は2610万件のSIM認証キーを暗号化せずに平文のデータベースに保存し、既知の脆弱性に対する2016年のものを含むセキュリティパッチを適用しなかった

最高プライバシー責任者の役割はITサービスに限定され、通信インフラ全体がプライバシー監督の対象外となっていた

ネットワークに触れることのできないプライバシー責任者は、肩書きであって防御ではない。分断されていないネットワーク上の平文のSIMキーは、過去最高の罰金を驚きではなく、先送りされた保守に対する請求書にする。