SK텔레콤 유심 정보 유출 사건 정리: 무엇이 문제였고, 어떻게 대응해야 할까?

1. 사건 개요

2025년 4월, SK텔레콤(이하 SKT)은 가입자 유심(USIM) 정보를 관리하는 서버가 해킹당해 일부 고객의 데이터가 유출된 정황을 발견했다고 발표했습니다.
유심은 스마트폰에 삽입되는 작은 카드로, 이용자의 전화번호와 인증 정보를 담고 있어 매우 민감한 정보입니다.

사건 타임라인

• 4월 18일 오후 6시 9분: 사내 시스템에서 이상 데이터 이동 감지

• 4월 18일 오후 11시 20분: 악성코드 발견 및 해킹 정황 확인

• 4월 19일 오전 1시 40분: 유출 가능성에 대한 분석 시작

• 4월 19일 오후 11시 40분: 일부 유심 정보 유출 정황 공식 확인

• 4월 20일: 한국인터넷진흥원(KISA)에 침해사고 신고

• 4월 22일: 개인정보보호위원회에 개인정보 유출 신고

(출처: 연합뉴스)

⸻

2. 유출된 정보와 기술적 세부사항

유출된 정보

• 이동가입자식별번호(IMSI): 휴대폰 이용자를 식별하는 고유번호

• 단말기 고유식별번호(IMEI): 휴대폰 자체를 구별하는 고유번호

• 유심 인증키: 유심의 정당성을 증명하는 데 쓰이는 보안 키

해킹 수법

공격자는 리눅스 시스템을 대상으로 하는 ‘BPFDoor’라는 악성코드를 사용했습니다.
BPFDoor는 네트워크 트래픽을 몰래 감시하고, 특정 신호(‘매직 패킷’)를 받으면 해커의 명령을 실행하는 방식으로 동작합니다.
서버 내부에서 정식 프로그램처럼 위장해 활동하며 탐지가 매우 어렵습니다.

(출처: AhnLab ASEC 분석 블로그)

⸻

3. 암호화 논란: 유출된 데이터는 왜 그냥 있었을까?

우리나라 개인정보보호법 및 정보통신망법에 따르면 주민등록번호, 여권번호, 바이오정보(지문, 얼굴 정보 등)와 같은 고유식별정보는 반드시 암호화하여 저장해야 합니다.

그러나 이번에 유출된 IMSI, IMEI, 유심 인증키 등은 현재 법률상 암호화 저장 의무가 없는 정보입니다.
즉, SKT가 이를 암호화하지 않았다고 해서 법을 위반한 것은 아닐 가능성이 큽니다.

(출처: 개인정보보호법 제29조, 정보통신망법 제28조)

⸻

4. 유출된 정보의 악용 가능성

일각에서는 “SIM 스와핑” 같은 심각한 범죄로 이어질 수 있다는 우려를 제기했습니다.
SIM 스와핑이란 해커가 피해자의 전화번호를 자신의 유심에 등록해버리는 공격을 말합니다. 이 경우 문자 인증, 은행 OTP 인증 등이 모두 해커 손에 넘어갈 수 있습니다.

하지만 현실적으로는 다음과 같은 제약이 있습니다.
국내 통신사는 유심 변경 시 신분증 확인 및 본인 인증 절차를 필수로 진행합니다.
단순히 IMSI, IMEI, 인증키만으로는 유심 교체가 불가능합니다.

그럼에도 불구하고 다음과 같은 악용 가능성은 존재합니다.

• 사회공학적 공격(신분증 위조, 개인정보 추가 확보)을 통한 유심 변경 시도 (현실 가능성 낮음)

• 복제폰 제작 및 금융 사기 시도 (현실 가능성 중간)

• 피해자 신상에 맞춘 스미싱/보이스피싱 공격 (현실 가능성 높음)

(출처: 트렌드마이크로 BPFDoor 분석 리포트)

⸻

5. 이용자가 취할 수 있는 대응 방법

기본 보안 조치

• SKT 유심보호서비스에 가입합니다. (T월드 앱이나 홈페이지에서 무료 가입 가능)

• 유심 카드에 비밀번호(PIN)를 설정합니다. 스마트폰의 설정 메뉴에서 가능합니다.

추가적인 보안 강화

• 주요 계정(구글, 카카오톡, 은행앱 등)의 인증 방식을 문자 인증 대신 앱 기반 OTP로 변경합니다.

• 피싱 문자, 스미싱 링크를 클릭하지 않도록 주의합니다

• 통신비 내역(데이터 사용량, 부가 서비스 가입 등)을 매달 점검합니다.

• SK텔레콤 계정(ID)의 비밀번호를 복잡하게 설정하고, 주기적으로 변경합니다.

긴급상황 대응

• 통화 불능, SMS 인증 실패 등 이상 징후가 발생하면 즉시 SKT 고객센터(114)에 신고하여 유심 정지 요청을 합니다.

• 신용정보 조회 서비스(올크레딧, 나이스지키미 등)를 통해 명의 도용 여부를 주기적으로 확인합니다.

⸻

6. 결론

이번 SKT 해킹 사건은 국내 통신망 보안 체계의 취약성을 드러낸 심각한 사건입니다.
다만 유출된 정보만으로 즉시 대규모 SIM 스와핑이 발생할 가능성은 낮습니다.

그럼에도 불구하고 정보가 추가 유출되거나 사회공학적 공격이 수반될 경우 2차 피해가 발생할 수 있으므로, 개인 차원의 대비가 중요합니다.

공포에 휘둘리기보다는, 합리적이고 차분하게 보안 조치를 강화하는 것이 최선입니다.