SK텔레콤, 2300만 이용자에 영향을 준 SIM 데이터 유출로 사상 최대인 1348억 원 과징금 부과

가입자 2300만 명을 보유한 한국 최대 통신사업자 SK텔레콤은 2025년 8월 28일 사상 최대인 1348억 원(9720만 달러)의 개인정보 과징금을 부과받았다. 개인정보보호위원회(PIPC)는 이를 개인정보 보호법에 따라 부과된 역대 최대 과징금이라고 밝히며 '기본적인 보안 실패와 부실한 관리'를 이유로 들었다.

이번 침해는 이르면 2021년에 시작되었으며, 공격자들은 4년 동안 SK텔레콤 네트워크 내부에서 탐지되지 않은 채 머물렀다. 2025년 4월 해킹이 공개되었을 때, 공격자들이 LTE 및 5G 가입자의 25개 범주 개인정보에 접근한 사실이 드러났으며, 여기에는 전화번호, 국제 이동 가입자 식별번호(IMSI), 기기 식별자(IMEI), USIM 인증 키가 포함되었다.

PIPC 조사 결과 SK텔레콤은 인터넷, 관리, 내부 네트워크를 외부 접근 제한 없이 동일한 시스템에 연결해 두었던 것으로 나타났다. 관리 서버는 침해가 발생한 홈 가입자 서버(HSS)에 불필요하게 연결되어 있었다. 회사는 2610만 개의 SIM 인증 키를 암호화하지 않고 평문 데이터베이스에 저장했다. 침입 탐지 로그를 무시했고, 2016년의 패치를 포함해 적용 가능한 보안 패치를 적용하지 않았다. 개인정보보호책임자의 역할은 IT 서비스로 한정되어 통신 인프라는 감독 범위 밖에 있었다.

이번 침해로 SK텔레콤은 2300만 가입자 전원을 대상으로 무료 USIM 카드 교체 프로그램을 시작해야 했고, 이로 인해 전국적으로 SIM 카드 일시 부족 사태가 빚어졌으며 정부 조사가 촉발되었다. 이 기록적인 과징금은 이 정도 규모의 개인정보 과징금을 겪어본 적이 없었던 한국 통신업계에 큰 충격을 주었다.

SIM 키가 암호화되지 않은 채 저장되고 패치가 건너뛰어져 공격자들이 4년 동안 활개를 쳤으며, 사상 최대인 1348억 원 과징금이 그 방치에 대한 청구서였다.

SK텔레콤은 인터넷, 관리, 내부 네트워크를 외부 접근 제한 없이 동일한 시스템에 연결해 두어 공격자가 인터넷에서 핵심 가입자 데이터베이스로 이동할 수 있게 했다

회사는 2610만 개의 SIM 인증 키를 암호화 없이 평문 데이터베이스에 저장했고, 알려진 취약점에 대한 2016년 패치를 포함해 보안 패치를 적용하지 않았다

개인정보보호책임자의 역할은 IT 서비스로 한정되어 통신 인프라 전체가 개인정보 감독 범위 밖에 있었다

네트워크를 건드릴 수 없는 개인정보보호책임자는 방어가 아니라 직함일 뿐이다. 분할되지 않은 네트워크에 평문으로 저장된 SIM 키는 기록적인 과징금을 놀라운 일이 아니라 미뤄둔 유지보수에 대한 청구서로 만든다.