SK电讯一个扁平网络未打补丁——韩国开出创纪录的1348亿韩元罚单

2025年8月27日，韩国个人信息保护委员会（PIPC）对韩国最大的电信运营商SK电讯处以1347.9亿韩元罚款——这是PIPC有史以来开出的最大罚单，此前最高的是2022年对谷歌的692亿韩元——外加960万韩元罚金，原因是其违规行为导致2324万4649名LTE和5G用户（包括MVNO客户）的数据暴露。被盗数据涵盖25个字段：手机号码、用户识别码（IMSI）以及用于保护手机身份的USIM认证密钥，其中2614万4363条记录以明文存储。

黑客于2021年8月首次侵入SK电讯内部网络并植入恶意软件；2022年6月，又在ICAS客户认证系统中增设了一个据点；2025年4月，从HSS归属用户服务器窃取了9.82GB数据。PIPC发现，SK电讯将互联网、管理、核心和内部网络运行在同一个扁平网络上，从未限制管理服务器对HSS的访问，无视入侵检测日志——包括其在2022年2月注意到黑客登录却未追踪——并且对约2365台服务器的4899个账户密码未加密存储。

最致命的发现是：SK电讯于2016年11月安装了带有“Dirty Cow”漏洞的操作系统，当时该漏洞（CVE-2016-5195）公开修补已过去五周，而SK电讯在2025年4月数据泄露前从未更新过该系统；此前一直未安装杀毒软件，尽管相关产品自2020年起就能检测到该漏洞。此外，虽然LG U+（自2011年）和KT（自2014年）已对USIM密钥（Ki）加密，但SK电讯仍以明文存储——SK电讯曾在2022年评估过加密选项，但最终放弃了。公司的首席隐私官（CPO）只负责IT/网络领域，并未覆盖遭到入侵的电信基础设施。

PIPC认定该行为属于“매우 중대한 위반행위”（非常严重的违规），并对持续两年以上的违规加重处罚，随后因整改措施和受害者赔偿努力而减轻了罚款。PIPC要求全系统整改、将ISMS-P认证扩展至电信网络系统，并在3个月内提交防止再次发生的计划。

创纪录的1347.9亿韩元罚款加上960万韩元罚金及整改命令；2324万4649名客户的手机号码、IMSI号码和USIM认证密钥（Ki、OPc）被盗

将安全视作基础设施成本而非产品决策，导致USIM密钥（移动身份的核心）的保护水平低于两家直接竞争对手已经采用的标准

扁平单一网络意味着互联网、管理、核心和内部网络之间没有内部边界，使得一类SQL注入故障变成了整个网络的泄露

早就知道2022年2月的入侵和2016年的补丁缺失，却未采取行动，将可预见的事件变成了持续四年的活动，最终导致创纪录的罚款

延迟通知（5月称“可能”，7月确认，而不是在72小时内通知）使数据事件演变成单独的法律违规和公众信任破裂

竞争对手早已对同样的密钥进行了加密；一个四年前就存在的补丁和一个共享网络才是真正的漏洞所在——罚款就是没有抄袭同行安全基础的账单

SK电讯以“重大责任”接受该决定，但表示其论点未被采纳。PIPC责令SK电讯赋予CPO对基础设施的实际权力，将ISMS-P认证扩展至电信网络系统，并在三个月内提交防灾计划。2025年9月，委员会对KT和LG U+展开调查，怀疑存在类似泄露；其纠纷调解委员会随后裁定SK电讯必须向每位受影响用户支付30万韩元赔偿。1348亿韩元罚款成为后来韩国每一起数据安全处罚的标杆。