SK電訊因SIM卡資料外洩影響2300萬用戶遭處以創紀錄1348億韓元罰款

韓國最大電信業者SK電訊擁有2300萬用戶，於2025年8月28日遭處以創紀錄的1348億韓元（9720萬美元）隱私罰款。個人資訊保護委員會（PIPC）稱這是《個人資訊保護法》下歷來最高的罰款，並指出「基本安全防護失靈與管理不善」。

這起外洩最早始於2021年，攻擊者在SK電訊網路內潛伏四年未被偵測。2025年4月駭客事件曝光時，外界得知攻擊者存取了LTE與5G用戶的25類個人資料，包括電話號碼、國際行動用戶識別碼（IMSI）、裝置識別碼（IMEI）以及USIM驗證金鑰。

PIPC調查發現，SK電訊將其網際網路、管理與內部網路連結在同一系統上，卻未限制外部存取。管理伺服器不必要地連接到事發所在的家用用戶伺服器（HSS）。該公司未加密2610萬組SIM卡驗證金鑰，將其以明文儲存在資料庫中。該公司忽視入侵偵測日誌，也未套用可用的安全修補程式，包括一項2016年的修補程式。隱私長的職權僅限於IT服務，使電信基礎設施不在其監督範圍內。

這起外洩迫使SK電訊為全部2300萬用戶推出免費USIM卡更換計畫，導致全國SIM卡暫時短缺，並引發政府調查。這筆創紀錄罰款震撼韓國電信業，該產業此前從未面臨如此規模的隱私罰款。

SIM卡金鑰未加密儲存、修補程式遭略過，使攻擊者潛伏四年；創紀錄的1348億韓元罰款正是這份疏失的代價。

SK電訊將其網際網路、管理與內部網路連結在同一系統上，卻未限制外部存取，使攻擊者得以從網際網路橫向移動至核心用戶資料庫

該公司將2610萬組SIM卡驗證金鑰以明文儲存在資料庫中而未加密，且未套用安全修補程式，包括一項針對已知漏洞的2016年修補程式

隱私長的職權僅限於IT服務，使整個電信基礎設施不在隱私監督範圍內

無法觸及網路的隱私長只是頭銜，不是防線。在未分段的網路上以明文儲存SIM卡金鑰，使創紀錄罰款不是意外，而是延遲維護的帳單。