[AI 팟캐스트] SKT 유심정보 유출 - 조사 결과 헛점 투성이의 총체적 난국이었다.

 

SK텔레콤 침해 사고 최종 조사 결과 발표

---

📌 개요 및 사고 배경

• 사고 인지: 2025년 4월 18일 23:20, SK텔레콤이 침해 사고 인지.
• 신고 지연: 법정 신고 기한(24시간)을 초과해 4월 20일 신고 → 정보통신망법 위반 (3천만원 이하 과태료 대상)
• 조사단 구성: 과기정통부는 4월 23일부터 민관 합동 조사단을 구성해 전사 서버 42,605대를 6차례 조사.

---

📁 유출 정보 및 규모

• 감염 서버: 총 28대 서버에 악성코드 33종 발견
• 유출 데이터:
  • 유심 정보 25종 (전화번호, IMSI 등)
  • 9.82GB / 약 2,696만 건
• 개인정보 평문 저장 문제:
  • 일부 서버에서 이름·전화번호·IMEI·CDR 정보가 암호화 없이 저장되어 있었음
  • 방화벽 로그 미보존 구간에 대해서는 유출 여부 확인 불가

---

🧩 침해 경로 및 해킹 과정

1. 초기 침투 (2021.8.6):
   • 공격자가 시스템 관리 서버 A에 접속해 악성코드(CrossC2) 설치
   • 평문으로 저장된 계정 정보 활용 → 서버 B → 음성통화 인증 서버(HSS) 감염
2. 거점 확보 (2022.6):
   • 고객 관리망 서버로 확산, BPF 도어 설치
3. 정보 유출 (2023.11.30 ~ 2025.4.21 추정):
   • 유심 정보 저장 서버 3대 → 외부 인터넷 연결 가능한 서버 C → 외부로 유출

---

⚠️ SK텔레콤의 보안 관리 문제점

1) 계정 관리 부실 및 신고 지연

• 평문 저장된 비밀번호 활용해 내부 침투
• 침해 신고 지연 및 누락: 2022년 유사 침해 사고에도 법적 신고 누락

2) 중요 정보 미암호화

• 유심 인증 키값 등 핵심 정보 암호화하지 않고 저장
• 타 통신사는 암호화 저장 기준 준수 중

3) 보안 점검 부실

• 연 1회 점검 기준 미준수
• 탐지 쉬운 웹쉘도 방치

4) 정보보호 책임 체계 미흡

• CISO 역할 한정 (전체 자산 57%만 커버)
• 보안 인력·투자 규모도 타 통신사 대비 낮음

5) 로그 및 자산 관리 소홀

• 방화벽 로그 6개월 미보존 (4개월만 저장)
• 자산 관리 시스템 미비

⚖️ 법 위반 및 제재

• 정보통신망법 위반:
  • 사고 신고 지연 (과태료 3천만 원 예정)
  • 침해 대응 미흡
• 자료 보전 명령 위반:
  • 포렌식 불가 상태로 서버 제출 → 수사 의뢰 예정

---

🔐 향후 보완·개선 방안 (요구 사항)

• 모든 서버 계정 관리 암호화 강화
• 분기별 보안 점검 및 탐지 시스템 도입
• 전사 보안 책임 강화 (CISO를 CEO 직속)
• 유심 인증 등 핵심 정보 전면 암호화
• 공급망 보안 관리 체계 구축
• 정보보호 인력 및 예산 타 통신사 이상 수준으로 확대

---

🧾 위약금 면제 관련 법적 판단

• 법률 자문 결과: 5개 기관 중 4곳이 "SKT 과실 명백" 의견
• 과기정통부 판단:
  • 계정·보안·신고 등 다수 법령 위반
  • 유심 정보 유출은 통신사의 주된 계약 의무 위반
  • SK텔레콤 귀책 사유로 판단, 약관상 위약금 면제 사유 해당
  • 단, 모든 사이버 사고에 동일 적용되는 일반 해석은 아님

---

🏛️ 정부의 향후 조치 및 계획

• 7월까지 SK텔레콤의 재발 방지 대책 제출 요구
• 10월까지 이행 점검 및 연말까지 마무리 예정
• 법 개정·제도 정비:
  • 과방위와 협력해 민간 정보보호 체계 전반 개편
  • 정보보호 거버넌스 및 투자 확대 방안 마련 중

---

✅ 결론 및 시사점

이번 사고는 이동통신 1위 기업의 정보보호 실패를 상징하는 사례입니다. 과기정통부는 이 사건을 계기로 민간 정보보안 체계 전반의 개편을 추진 중이며, 통신사업자에 대한 법적·제도적 기준 강화가 불가피해졌습니다.
무엇보다, 이용자 신뢰 회복을 위한 근본적인 시스템 재정비가 시급한 상황입니다.

---

🔖 관련 태그

#SK텔레콤 #유심정보유출 #정보보호사고 #사이버침해 #과기정통부 #통신사보안 #위약금면제 #CISO강화 #정보보안정책 #디지털안전