SK텔레콤 개인정보 유출: 한국 최대 이동통신사는 어떻게 해킹당했으며 수백만 명에게 어떤 의미인가

한국 통신 거대기업 SK텔레콤 해킹: 무슨 일이 있었나?

한국 역사상 가장 중대한 사이버 보안 사고 가운데 하나로, 국내 최대 이동통신사인 SK텔레콤(SKT)에서 대규모 정보 유출이 발생해 거의 모든 가입자의 민감한 정보가 노출됐다. 이 침해는 이르면 2021년 8월 시작됐지만 2025년 4월에야 발견돼 한국의 디지털 인프라 전반에 큰 파장을 일으켰다. 기업의 책임과 국가 안보, 한국의 데이터 보호가 나아갈 방향에 관한 긴급한 질문도 제기됐다.

당국은 해커들이 SKT의 핵심 네트워크에 침투해 최대 2,700만 명의 중요 SIM 카드 인증 정보를 포함한 데이터 약 10GB를 빼냈다고 확인했다. 정부 조사와 공개 사과, 고객 이탈, 역대 최대 규모의 과징금 가능성 등 파장은 빠르고 심각하게 번졌다. 그러나 이번 사건은 단순한 기술적 실패를 넘어 통신업계 전체에 경종을 울리는 사례이자 진화하는 사이버 위협 환경을 보여주는 사례 연구다.

침해는 어떻게 일어났나? 사건 경과와 공격 방식

SK텔레콤 해킹은 갑작스러운 침투와 탈취가 아니었다. 수년간 감지되지 않은 채 느리고 은밀하게 진행된 침투였다. 과학기술정보통신부와 민간 사이버 보안 전문가들의 합동 조사에 따르면, 공격자들은 당초 알려진 시점보다 약 10개월 이른 2021년 8월 6일께 SKT 내부 서버에 악성코드를 심었다. 정교한 리눅스 백도어로 알려진 BPFDoor의 변종이 최소 27개 포함된 이 악성코드는 해커들이 SKT 네트워크 안에서 측면 이동을 하고, 궁극적으로 가입자 인증과 신원을 관리하는 중앙 데이터베이스인 홈가입자서버(HSS)에 접근할 수 있게 했다.

BPFDoor는 자금력이 풍부하고 때로는 국가의 지원을 받는 지능형 지속 위협(APT) 그룹과 연관된 도구다. 탐지를 피하고 기존 보안 조치를 우회하는 기능 때문에 특히 위험하다. 조사관들은 공격자들이 SKT의 네트워크 관리 시스템 취약점을 악용했으며, 다른 세계적 해킹 사건에서 중국 연계 해킹 그룹이 이용한 경로인 Ivanti VPN 장비 등 제3자 소프트웨어의 약점을 활용했을 가능성이 있다고 밝혔다.

해커들은 내부에 침투한 뒤 국제이동가입자식별번호(IMSI), 즉 각 SIM 카드의 고유 식별 번호를 포함한 범용가입자식별모듈(USIM) 데이터 9.82GB를 빼냈다. 이 데이터는 이동통신망에서 사용자를 인증하는 데 필수적이며, 악용될 경우 SIM 카드 복제나 SMS로 전송되는 2단계 인증 코드 가로채기에 이용될 수 있다.

더욱 우려스러운 점은 단말 식별자와 통화 상세 기록을 포함한 민감한 데이터 상당량이 암호화되지 않은 평문 형태로 저장돼 있었다는 사실이다. 기본적인 보안 관리가 이뤄지지 않아 이번 정보 유출의 피해는 그렇지 않았을 경우보다 훨씬 커졌다.

어떤 데이터가 유출됐나? 유출 규모와 위험

SKT 정보 유출 규모는 충격적이다. IMSI 정보 약 2,700만 건이 유출됐는데, 이는 SKT의 실제 가입자 수보다 많은 규모다. 스마트워치와 사물인터넷(IoT) 기기 사용자, 과거 가입자까지 피해를 봤을 가능성을 시사한다. 유출된 데이터는 다음과 같다.

• IMSI 번호(모바일 '지문')
• USIM 인증 키
• 전화번호
• 단말 식별자(IMEI 노출 정황 일부 포함)
• 통화 상세 기록(CDR). SKT는 해당 기록이 암호화돼 있었다고 주장

SKT는 이름과 주소, 금융 계좌 정보는 노출되지 않았다고 밝혔지만 USIM 및 IMSI 데이터 탈취는 여전히 중대한 사안이다. 공격자들은 이 정보를 이용해 이론적으로 SIM 카드를 복제하거나 SMS 기반 인증 코드를 가로채고, SIM 스와핑 사기를 시도할 수 있다. SIM 스와핑은 범죄자가 피해자의 전화번호를 탈취해 온라인 계정에 접근하는 수법이다.

현재까지 유출된 데이터가 광범위한 사기나 악용에 쓰였다는 확인된 보고는 없다. 그러나 위험은 여전히 남아 있으며, 당국은 피해를 본 모든 사용자에게 SIM 카드를 교체하고 강화된 보호 서비스에 가입할 것을 권고했다.

누가 공격했나? 배후 추정과 국제 공조 수사

SKT 해킹을 누가 기획했는지는 공식적으로 밝혀지지 않았지만, 숙련도가 높고 국가의 지원을 받았을 가능성이 있는 행위자를 가리키는 증거가 잇따라 나오고 있다. 과거 솔트 타이푼(Salt Typhoon)과 레드 맨션(Red Mansion) 등 중국 APT 그룹과 연관된 BPFDoor 악성코드가 사용돼 외국 세력의 개입 가능성에 대한 추측이 커졌다. 대만 사이버 보안업체 팀T5는 SKT를 비롯한 다수의 한국 기업이 사용하는 Ivanti VPN 장비의 취약점이 SKT 해킹과 비슷한 시기에 전 세계에서 중국 연계 해커들에 의해 악용되고 있었다고 밝혔다.

한국 경찰은 미국을 포함한 5개국 수사기관과 공조해 공격을 수사하고 있다. 의심스러운 IP 주소 100여 개를 확인했으며, 해외 기업 18곳에 국제 자료 요청을 했다. 추측이 이어지고 있지만 당국은 아직 특정 국가나 단체를 공격 주체로 공식 지목하지 않았으며, 수사는 계속되고 있다.

사이버 보안 전문가들은 장기간 은밀하게 진행된 이번 침해의 특성상 단순한 금전적 이득 이상의 목적이 있었을 가능성이 크다고 지적한다. 고려대 사이버 국방 전문가 임종인 교수는 이러한 작전은 일반 사이버 범죄자가 아니라 장기적인 접근권이나 정보를 확보하려는 국가 단위 행위자가 주도하는 경우가 많다고 말했다.

SK텔레콤은 어떻게 대응했나? 사과와 보상, 보안 체계 전면 개편

SK텔레콤은 다각도로 대응했지만 논란도 뒤따랐다. 2025년 4월 정보 유출 사실을 공개한 뒤 회사는 대국민 사과를 발표했고, 류영상을 최고경영자(CEO)는 이번 사건을 “회사 역사상 가장 심각한 보안 침해”라고 말했다. 최태원 SK그룹 회장도 사과하며 피해가 발생한 데 대해 전적으로 책임지겠다고 약속했다.

피해를 줄이기 위해 SKT는 고객을 위한 여러 대책을 내놨다.

• 전국 2,600여 개 매장에서 가입자 2,300만 명 전원에게 SIM 카드 무료 교체 제공
• 모든 고객의 8월 요금 50% 할인
• 무단 번호이동이나 SIM 교체를 막기 위한 강화된 SIM 보호 서비스
• 피해 고객의 약정 조기 해지 위약금 면제

SKT는 최대 500만 명이 이탈할 경우 위약금 면제와 매출 감소에 따른 손실이 총 7조 원(약 51억 달러)을 넘을 수 있다고 추산했다. 이미 수십만 명이 경쟁사로 옮겼으며 SKT 주가도 크게 하락했다.

기술적 대응의 일환으로 SKT는 정보보호 체계를 재구축하기 위해 5년간 7,000억 원(5억1,400만 달러)을 투자하는 포괄적인 '책임과 헌신 프로그램'을 발표했다. 계획에는 다음이 포함된다.

• 사이버 보안팀 규모 두 배 확대
• 최고정보보호책임자(CISO)가 CEO에게 직접 보고하도록 직책 격상
• 분기별 보안 감사와 정기 모의 침투 테스트
• USIM 인증 키 전면 암호화(경쟁사 KT와 LG유플러스는 이미 도입한 표준)
• 첨단 엔드포인트 탐지 및 대응 솔루션 도입
• 취약점을 선제적으로 찾아내는 '레드팀' 구성

SKT는 대학과 협력하고 관련 분야 스타트업을 지원해 국내 사이버 보안 인재를 육성하기 위한 100억 원(730만 달러) 규모의 기금도 조성했다.

정부는 어떻게 대응했나? 규제 조치와 제재

한국 정부는 SKT 정보 유출에 강경하게 대응했다. 과학기술정보통신부는 철저한 조사 끝에 SKT가 가입자 데이터 보호 의무를 소홀히 했다고 결론 내렸다. 류제명 과기정통부 제2차관은 SKT가 보안 의무를 이행하지 않았으며, 법정 신고 기한인 24시간 이내에 침해 사실을 알리지 않아 신고 요건도 위반했다고 밝혔다.

이에 따라 당국은 다음과 같은 제재와 의무 조치를 부과했다.

• 규제 위반에 대해 최대 3,000만 원의 과태료 부과(개인정보 보호법에 따라 훨씬 큰 제재를 받을 가능성도 있음)
• 분기별 보안 점검과 최소 6개월간 로그 보관 의무화
• 피해 고객이 위약금 없이 계약을 해지할 수 있도록 의무화
• 데이터 보존 명령 불이행과 관련해 형사 수사 의뢰

개인정보보호위원회(PIPC)는 SKT 연간 매출의 최대 3%에 해당하는 역대 최대 규모의 과징금을 검토하고 있다. 과징금은 5,300억 원을 넘을 수 있다. 개인정보위는 국내 대기업 전반의 사이버 보안 투자가 부족하다고 비판하며, 업계 전반에 인력과 예산을 더욱 확충할 것을 촉구했다.

SKT는 왜 이렇게 취약했나? 한국 사이버 보안의 구조적 문제

SKT 해킹은 진공 상태에서 발생한 사건이 아니다. 한국이 직면한 더 광범위한 사이버 보안 문제의 일부다. 세계에서 디지털 발전 수준이 가장 높은 사회 가운데 하나임에도 한국 기업 다수는 역사적으로 사이버 보안에 충분히 투자하지 않았다. 2024년 정부 조사에서 사이버 보안 전담 인력이 필요하다고 응답한 기업은 8.7%에 그쳤고, 대기업 가운데서도 이를 우선 과제로 꼽은 곳은 14%뿐이었다. 한국의 사이버 보안 전문가 보수는 세계 기준에 크게 못 미쳐 우수 인재를 유치하고 유지하기 어렵다.

대부분의 기업은 여러 역할을 동시에 맡는 IT 인력에 의존하며, 상근 보안 전문가를 둔 곳은 소수에 불과하다. 이러한 구조적 투자 부족으로 SKT와 같은 핵심 인프라 사업자조차 정교한 공격에 노출됐다. 정부는 이러한 문제를 인정하고 업계 전반의 개혁을 추진하고 있지만, SKT 사건은 변화가 시급하다는 점을 보여준다.

고객은 어떻게 해야 하나? 피해 예방을 위한 실질적인 조치

정보 유출 피해를 본 수백만 SKT 가입자를 위해 전문가와 당국은 사기나 무단 접근 위험을 줄일 수 있는 다음과 같은 즉각적인 조치를 권고한다.

• SIM 카드를 교체하세요: SKT가 무료 교체를 제공하고 있으며, 교체하면 유출된 인증 키를 무효화할 수 있습니다.
• SIM 보호 서비스에 가입하세요: 이 서비스는 전화번호를 현재 사용 중인 SIM에 전자적으로 연결해 무단 번호이동이나 SIM 교체를 막습니다.
• 피싱 시도에 주의하세요: SKT의 공식 안내만 신뢰하고, 의심스러운 링크를 누르거나 요청받지 않은 메시지에 개인정보를 알려주지 마세요.
• 계정 인증을 다시 하고 이상 여부를 살피세요: 주요 앱에서 로그아웃한 뒤 다시 로그인하고, 금융 계정에서 이상 거래를 확인하며 비밀번호를 변경하세요. 가능하면 SMS 기반이 아닌 다중 인증을 사용하세요.
• 최신 안내를 확인하세요: SKT와 정부 기관의 공식 공지를 확인해 최신 지침과 지원 창구를 파악하세요.

이러한 조치를 시행하면 SIM 스와핑 사기와 이번 정보 유출에서 비롯될 수 있는 다른 피해 위험을 크게 줄일 수 있다.

더 큰 파장: 국가 안보와 통신의 미래

SKT 해킹은 기업 위기를 넘어 국가 안보 문제다. 국내 대표 이동통신사인 SKT는 모바일 통신뿐 아니라 금융 거래와 신원 확인, 핵심 서비스도 뒷받침하는 한국 디지털 인프라의 중추다. 이번 침해로 간첩 활동과 감시, 필수 시스템 교란에 악용될 수 있는 취약점이 드러났다.

정부 관계자와 사이버 보안 전문가들은 이번 사건이 업계 전체에 경종을 울려야 한다고 경고했다. 유상임 과학기술정보통신부 장관은 다음과 같이 말했다.

이번 SKT 정보 유출은 통신업계 전체와 국가 네트워크 인프라에 대한 경종입니다. 한국 최대 이동통신사인 SKT는 사이버 보안을 최우선으로 삼아야 합니다.

정부는 이제 모든 통신 사업자에 더 강력한 규제와 과징금 인상, 의무 보안 기준을 적용하는 방안을 검토하고 있다. 사이버 위협이 국경을 넘어 확산되고 공동 대응이 필요해짐에 따라 국제 공조에도 다시 관심이 쏠리고 있다.

요약

• SK텔레콤에서 대규모 정보 유출이 발생해 최대 2,700만 명의 민감한 SIM 인증 정보가 노출됐다.
• 침해는 2021년 8월 시작됐지만 2025년 4월에야 발견돼 탐지와 대응의 실패가 드러났다.
• 해커들은 정교한 악성코드, 특히 중국과 연계됐을 가능성이 있는 지능형 지속 위협 그룹과 관련된 BPFDoor를 사용한 것으로 보인다.
• 유출된 데이터에는 IMSI 번호와 USIM 키, 전화번호가 포함돼 SIM 복제와 사기 위험이 커졌다.
• SKT는 SIM 카드 무료 교체와 요금 감면, 사이버 보안에 대한 대규모 투자를 약속했지만 역대 최대 과징금과 고객 이탈에 직면했다.
• 정부는 제재를 부과하고 개혁을 의무화했으며, SKT의 정보 유출 대응과 관련한 형사 수사에 착수했다.
• 이번 사건은 특히 대기업을 중심으로 한국 사이버 보안 체계의 구조적 취약성을 드러냈다.
• 고객은 SIM 카드를 교체하고 보호 서비스에 가입하며 사기 피해를 경계해야 한다.
• 이번 침해는 국가 안보에도 영향을 미치며 업계 전반의 개혁과 국제 공조를 촉진하고 있다.