SK텔레콤 유심 정보 유출 사태

1. 대한민국 통신 산업의 신뢰를 뒤흔든 최악의 보안 참사

2025년 4월, 대한민국 1위 통신사업자인 SK텔레콤(이하 SKT)의 핵심 서버가 해킹되어 약 2,300만 명에서 2,696만 건에 이르는 가입자의 유심(USIM) 정보가 대량으로 유출되는 초유의 사태가 발생했다.1 이 사건은 단순히 대규모 개인정보가 유출된 사고를 넘어, 국민의 디지털 신원(Digital Identity)과 금융 거래의 근간을 이루는 통신 인증 체계의 신뢰를 뿌리부터 흔든 국내 통신 산업 역사상 최악의 보안 참사로 규정된다. 유출된 정보에는 가입자의 전화번호, 국제 가입자 식별번호(IMSI)뿐만 아니라, 유심 복제를 가능하게 하는 핵심 암호키인 ’인증키(Ki)’까지 포함되어 있어, 전 국민을 대상으로 한 대규모 금융 범죄의 잠재적 위협을 수면 위로 끌어올렸다.1

이번 사태의 본질은 고도화된 외부 공격 이전에, 수년간 지속된 SKT 내부의 구조적인 보안 불감증과 총체적인 관리 부실에 있다. 본 보고서는 공격자의 최초 침투부터 데이터 유출까지 987일간의 전개 과정, 사용된 공격 기법의 기술적 심층 분석, SKT의 다층적이고 조직적인 보안 실패, 그리고 이로 인해 촉발된 사회경제적 파장과 정부의 대응을 종합적으로 분석하고자 한다. 특히 이번 유심 인증키 유출은 단순한 데이터 침해를 넘어, 모바일 기반 인증이 금융 및 공공 서비스의 핵심인 한국 사회에서 국가 디지털 주권(Digital Sovereignty)의 취약성을 드러낸 중대한 안보 이슈라는 점을 명확히 한다. 유심의 무결성은 디지털 경제의 신뢰 프레임워크 그 자체이며, 단일 기업의 실패가 국가 디지털 인프라 전체를 위협할 수 있음을 이번 사건은 명백히 보여주었다. 따라서 본 보고서는 사건의 사실관계를 규명하는 것을 넘어, 대한민국 통신 기간 산업의 보안 체계를 근본적으로 재검토하고, 신뢰 회복을 위한 실질적인 제언을 도출하는 것을 궁극적인 목적으로 한다.

2. 사건의 전개와 피해 규모: 987일간의 잠복과 2,696만 건의 정보 유출

이번 SKT 유심 정보 유출 사태는 단발적인 공격이 아니라, 2021년부터 약 3년에 걸쳐 은밀하게 진행된 지능형 지속 위협(APT)의 결과물이다. 공격자의 장기간 잠복과 SKT의 반복된 대응 실패가 결합되어 사상 최악의 피해로 이어졌다.

2.1 상세 타임라인 재구성

공격자의 최초 침투부터 SKT의 늑장 대응까지의 과정을 시간 순으로 재구성하면 다음과 같다.

• 1단계: 최초 침투 및 잠복 (2021년 8월 ~ 2022년 2월)

• 2021년 8월 6일: 공격자는 외부 인터넷과 연결된 SKT 시스템 관리망 내 ’서버 A’에 접속하여 원격제어 백도어인 ‘CrossC2’ 악성코드를 설치했다. 이는 민관합동조사단이 확인한 가장 빠른 감염 시점이다.4 이 서버에는 관리자 계정 정보가 평문으로 저장되어 있었고, 공격자는 이를 확보해 내부망 장악의 발판을 마련했다.4

• 2021년 12월 24일: 공격자는 탈취한 계정 정보를 이용해 코어망 내 음성통화인증(HSS) 관리서버에 접속하여 스텔스 백도어인 ’BPFDoor’를 설치했다.5

• 2단계: 대응 실패와 공격 확산 (2022년 2월 ~ 2025년 4월)

• 2022년 2월 23일: SKT는 특정 서버에서 발생한 비정상 재부팅 현상을 점검하는 과정에서 악성코드(타이니쉘 2종) 감염 사실을 인지했다.4 이는 공격자의 활동을 조기에 차단하고 피해를 최소화할 수 있었던 결정적 기회였다. 그러나 SKT는 해당 서버를 조치했을 뿐, 정보통신망법에 따른 관계기관 신고 의무를 이행하지 않았다.5 이 결정은 공격자에게 이후 2년이 넘는 시간 동안 자유롭게 활동할 수 있는 환경을 제공한 최악의 실책이었다. 이 시점의 대응 실패는 단순한 기술적 탐지 실패가 아닌, 위협을 인지하고도 묵살한 명백한 거버넌스의 실패였다.

• 2022년 6월 15일 이후: 공격자는 시스템 관리망을 통해 고객 관리망 내 서버들로 횡적 이동(Lateral Movement)을 계속하며 웹쉘, BPFDoor 등 추가 악성코드를 설치, 내부 장악력을 공고히 했다.5

• 3단계: 정보 유출 실행 및 늑장 신고 (2025년 4월)

• 2025년 4월 18일: 공격자는 987일간의 잠복 끝에 최종 목표를 실행했다. 이날 새벽, 코어망에 위치한 HSS 서버 3대에서 총 9.82GB 분량의 유심 가입자 데이터를 외부 인터넷 연결 접점인 ’서버 C’를 통해 외부로 빼돌렸다.4

• 4월 18일 오후 6시 9분: SKT 네트워크인프라센터에서 비정상 트래픽 이상 징후를 최초로 감지했다.7

• 4월 19일 밤 11시 40분: 내부 조사를 통해 유심 정보 일부가 유출된 사실을 내부적으로 확정했다.8

• 4월 20일 오후 4시 46분: SKT는 이상 징후를 최초 인지한 지 45시간 이상, 법정 신고 기한인 24시간을 훌쩍 넘겨 한국인터넷진흥원(KISA)에 침해 사실을 신고했다.8

• 4월 22일: 언론 보도를 통해 사건이 공개된 후, SKT는 T월드 앱 팝업 공지를 통해 유출 사실을 처음으로 대중에게 알렸다.5

아래 표는 장기간에 걸친 침해와 지연된 대응의 주요 과정을 요약한 것이다.

2.2 피해 규모의 정량적 분석

이번 해킹으로 인한 피해 규모는 국내 정보 유출 사고 역사상 전례 없는 수준이다.

• 유출 건수: 민관합동조사단 최종 발표에 따르면, 국제 가입자 식별번호(IMSI) 기준으로 총 2,696만 건의 유심 정보가 유출되었다.4 이는 SKT 본회선 가입자뿐만 아니라 SKT 통신망을 사용하는 알뜰폰(MVNO) 가입자까지 포함하는 수치로, 사실상 전 국민의 절반에 해당하는 규모이다.5

• 유출 정보 상세: 총 25종의 정보가 유출되었으며, 그중 가장 치명적인 정보는 다음과 같다.6

• 전화번호(MSISDN): 스미싱, 보이스피싱 등 각종 범죄의 표적이 될 수 있는 기본 정보다.

• 국제 가입자 식별번호(IMSI): 유심 카드 고유의 식별번호로, 가입자 인증에 사용된다.

• 유심 인증키(Ki): 유심과 통신사 기지국 간 상호 인증에 사용되는 128비트 비밀키다. 이 정보가 유출되면 유심을 복제하여 가입자의 신원을 도용하는 ‘심 스와핑’ 공격이 가능해진다.4

• 단말기 고유식별번호(IMEI): 1차 조사에서는 유출되지 않았다고 발표되었으나 14, 2차 조사 과정에서 291,831건의 IMEI가 포함된 파일이 발견되어 피해 우려를 증폭시켰다.15

이처럼 유출된 정보는 단순한 개인 식별 정보를 넘어, 통신망 인증 체계의 핵심을 이루는 ’디지털 열쇠’에 해당한다. 이는 단순한 프라이버시 침해를 넘어, 전 국민의 금융 자산과 디지털 활동 전반을 위협하는 심각한 안보 문제로 직결된다.

3. 공격 기법 및 침투 경로 심층 분석: 고도화된 APT 공격과 BPFDoor 악성코드

이번 SKT 해킹은 고도로 지능화되고 조직적인 APT(지능형 지속 위협) 그룹에 의해 장기간에 걸쳐 수행되었다. 공격자는 최신 보안 취약점을 이용해 초기 침투를 감행하고, 탐지를 회피하는 스텔스 악성코드를 활용해 장기간 잠복하며 최종 목표를 달성했다.

3.1 APT 공격 시나리오 재구성

민관합동조사단의 조사 결과와 보안 전문가들의 분석을 종합하면, 공격 시나리오는 다음과 같은 4단계로 재구성할 수 있다.

1. 1단계 (초기 침투 - Initial Access): 공격의 시작은 SKT 네트워크의 경계 보안을 뚫는 것이었다. 2021년 8월, 공격자는 외부에 노출된 시스템을 표적으로 삼았다. 가장 유력한 침투 경로는 보안업계에서 지속적으로 문제점이 제기된 이반티(Ivanti)사의 VPN 장비 취약점이다.13 특히 CVE-2025-22457과 같은 심각도 높은 원격 코드 실행(RCE) 취약점은 인증 없이 외부에서 내부망으로 침투할 수 있는 통로를 제공한다.16 또는 외부에 공개된 웹 서버(WebLogic, Apache 등)의 제로데이 또는 미패치 취약점을 악용해 웹셸(WebShell)을 업로드하는 방식도 유력한 시나리오로 거론된다.16

2. 2단계 (거점 확보 및 권한 상승 - Persistence & Privilege Escalation): 내부망에 성공적으로 진입한 공격자는 장기적인 활동을 위한 거점을 마련했다. 최초 침투한 서버에 CrossC2와 같은 원격제어 백도어를 설치하여 외부 C2(명령제어) 서버와의 통신 채널을 확보했다.4 이후 내부망을 탐색하며 결정적인 실책을 발견했다. 바로 평문(Plaintext)으로 저장된 관리자 계정 정보였다.4 이 정보를 탈취한 공격자는 손쉽게 다른 서버로 접근 권한을 넓혀 나갔다. 최종적으로 시스템의 완전한 통제권을 얻기 위해, 2016년에 이미 공개되어 패치가 존재했던 리눅스 커널의 DirtyCow와 같은 권한 상승 취약점을 이용해 일반 계정에서 최고 관리자인 루트(root) 권한을 획득했을 가능성이 높다.18

3. 3단계 (장기 잠복 및 확산 - Defense Evasion & Lateral Movement): 루트 권한을 획득한 공격자는 자신의 존재를 숨기고 장기간 잠복하기 위해 고도의 스텔스 기술을 사용했다. 이때 핵심적인 역할을 한 것이 바로 BPFDoor 악성코드다.15 공격자는 HSS 관리서버를 포함한 총 28대의 핵심 서버에 33종의 악성코드(이 중 24종이 BPFDoor 변종)를 유포하며 내부 시스템을 완전히 장악했다.5

BPFDoor의 은밀한 작동 방식 덕분에 공격자는 SKT의 보안 관제 시스템에 탐지되지 않고 수년간 활동할 수 있었다.

4. 4단계 (목표 달성 및 데이터 유출 - Exfiltration): 987일간의 치밀한 준비 끝에, 공격자는 2025년 4월 18일 최종 목표를 실행에 옮겼다. 장악한 HSS 서버 3대에 접근하여 전화번호, IMSI, 그리고 가장 중요한 **인증키(Ki)**가 포함된 9.82GB의 핵심 데이터를 압축하여 탈취했다.4 데이터는 외부와 인터넷 연결이 가능한 시스템 관리망 내 ’서버 C’를 경유하여 외부로 유출되었다.4

3.2 핵심 악성코드 기술 분석

이번 공격의 성공은 특히 BPFDoor라는 정교한 악성코드의 역할이 컸다. 이 악성코드는 기존의 보안 패러다임을 무력화하는 새로운 위협의 등장을 알린다.

• BPFDoor (Berkeley Packet Filter Door): 이 악성코드는 리눅스 운영체제의 정상적인 핵심 기능인 BPF를 악용한다.14 BPF는 본래 네트워크 트래픽을 커널 수준에서 효율적으로 분석하고 필터링하기 위한 강력한 도구다.

BPFDoor는 이 기능을 이용해 네트워크상의 모든 패킷을 감시하다가, 공격자가 미리 약속된 특정 데이터 패턴, 즉 ’매직 패킷(Magic Packet)’을 포함한 패킷을 보내면 이를 인지하고 활성화된다.23 활성화된 BPFDoor는 공격자에게 원격 셸(명령 실행창)을 제공하여 서버를 완전히 제어할 수 있게 한다. 이 방식의 가장 무서운 점은 다음과 같다.

• 탐지 회피: 별도의 포트를 열거나 외부 서버에 먼저 접속을 시도하지 않기 때문에, 전통적인 네트워크 방화벽이나 침입탐지시스템(IDS)으로는 비정상 행위를 탐지하기가 거의 불가능하다.24

• 시스템 기능의 무기화: 이는 시스템의 취약점을 공격하는 것이 아니라, 시스템의 합법적이고 강력한 기능을 악의적으로 사용하는 것이다. 보안 시스템이 정상적인 커널 API 호출과 악의적인 호출을 구분하기는 매우 어렵다. 이는 보안의 패러다임이 단순히 취약점을 막는 것에서, 시스템 기능의 ’의도’까지 파악해야 하는 수준으로 발전해야 함을 시사한다.

• 은폐 기술: BPFDoor는 dbus-daemon, hald-addon-acpi 등 시스템의 정상적인 프로세스 이름으로 자신을 위장하고, 파일 생성 시간(타임스탬프)을 과거로 조작하는 등의 안티포렌식 기법을 사용하여 분석가의 추적을 방해한다.23

3.3 공격 배후 추정

공격의 장기성, 사용된 기술의 고도성, 그리고 국가 기간 통신망이라는 목표의 전략적 중요성을 고려할 때, 이번 공격은 금전적 이득을 노리는 일반 해커 그룹의 소행이 아닐 가능성이 매우 높다. 보안업계에서는 BPFDoor를 주로 사용하는 중국계 국가 지원 APT 그룹, 예를 들어 ’Red Menshen’이나 ‘APT41’ 등과의 연관성을 유력하게 보고 있다.18 이들 그룹은 사이버 첩보 활동이나 주요 인프라 교란을 목적으로 활동하는 것으로 알려져 있다.27 현재 서울경찰청은 미국, 싱가포르 등 5개국 수사기관과 국제 공조를 통해 100개 이상의 해외 IP 주소를 추적하며 배후를 쫓고 있으나, 공격자가 여러 경유지를 거쳐 흔적을 숨겼기 때문에 최종 배후를 특정하는 데에는 상당한 어려움이 따를 것으로 예상된다.5

4. SK텔레콤의 구조적 보안 실패와 총체적 부실: 예견된 인재(人災)

SKT 유심 정보 유출 사태의 근본 원인은 고도화된 외부 공격 이전에, 수년간 방치된 내부의 구조적 보안 실패와 총체적인 관리 부실에 있다. 민관합동조사단의 조사 결과는 SKT의 보안 체계가 기본적인 원칙조차 지키지 못한 ’인재(人災)’였음을 명백히 보여준다. 이는 단일한 실수가 아닌, 조직 문화 전반에 걸쳐 위험을 용인하는 ’일탈의 정상화(Normalization of Deviance)’가 만연했음을 시사한다.

4.1 핵심 보안 원칙의 붕괴

가장 기본적인 보안 조치들이 체계적으로 무시되었다.

• 계정정보 관리 부실: 공격자가 내부망을 자유롭게 활보할 수 있었던 결정적 원인은 관리자 계정 정보가 평문(Plaintext)으로 저장되어 있었기 때문이다.4 음성통화인증(HSS) 관리서버의 아이디와 비밀번호가 암호화되지 않은 채 다른 서버에 보관되어 있었으며, 이는 정보보호관리체계(ISMS) 인증 기준을 정면으로 위반하는 행위다.5 단 하나의 서버만 뚫리면 내부 시스템 전체가 연쇄적으로 장악될 수 있는 치명적인 구조적 결함이었다.

• 주요정보 암호화 조치 미흡: 이번 사태에서 가장 비판받는 지점은 유심 복제의 핵심 정보인 인증키(Ki) 값을 암호화하지 않고 저장했다는 사실이다.4 이는 세계이동통신사업자협회(GSMA)의 권고사항일 뿐만 아니라, 경쟁사인 KT는 2014년부터, LG유플러스는 2011년부터 이미 도입하여 운영 중인 업계의 기본 상식이었다.32 SKT는 암호화 및 복호화 과정에서 발생하는 시스템 성능 저하를 우려했거나 관련 비용을 절감하기 위해 의도적으로 보안을 희생했다는 비판에서 자유로울 수 없다.32 이러한 장기간의 기술적 부채는 결국 돌이킬 수 없는 피해로 돌아왔다.

4.2 보안 거버넌스 및 대응 체계의 총체적 실패

기술적 문제뿐만 아니라, 위기를 관리하고 대응해야 할 조직의 거버넌스 또한 완전히 붕괴된 상태였다.

• 과거 침해사고 은폐 및 미신고: 2022년 2월, 서버에서 악성코드 감염을 인지했음에도 불구하고 이를 관계기관에 신고하지 않은 것은 사태를 조기에 수습할 수 있었던 ’골든타임’을 스스로 걷어찬 행위다.4 이는 단순한 법규 위반을 넘어, 문제를 투명하게 공개하고 해결하기보다는 내부적으로 덮으려는 시도로 비칠 수 있으며, 건강한 보안 문화의 부재를 드러낸다.

• 늑장 신고 및 부실한 초기 소통: 2025년 4월 유출을 인지한 후에도 법정 신고 기한(24시간)을 어기고 45시간이 지나서야 KISA에 신고했다.10 또한, 전 국민적 사안임에도 불구하고 개별 통지 없이 T월드 앱 팝업 공지로만 사태를 알리는 등 안일한 초기 대응으로 고객의 불안과 혼란을 극대화했다.5

• 자료보전 명령 위반: 과기정통부가 증거 보전을 위해 내린 자료보전 명령 이후, SKT가 핵심 서버 2대를 포렌식 분석이 불가능한 상태로 임의 조치한 사실이 드러났다.5 이는 진상 규명을 방해하고 증거를 인멸하려 했다는 심각한 의혹을 낳았다.

• 전반적인 관리 부실: 이 외에도 △8년 이상 된 낡고 취약한 운영체제(DirtyCow 취약점)를 방치한 점 19, △자체 보안 규정(6개월 이상)을 위반하고 방화벽 로그를 4개월만 보관하여 조사에 한계를 초래한 점 4, △협력업체로부터 받은 소프트웨어를 검증 없이 설치해 악성코드가 유입된 공급망 보안의 허점 6, △정보보호최고책임자(CISO)가 전체 자산의 일부만 담당하는 등 역할과 통제력이 미미했던 점 33, △경쟁사에 비해 정보보호 관련 투자를 줄여온 정황 36 등 총체적인 부실이 확인되었다.

아래 표는 SKT의 다층적인 보안 실패 요인을 체계적으로 정리한 것이다.

이러한 다층적 실패는 SKT의 보안 문화가 오랫동안 잘못된 방향으로 고착화되었음을 보여준다. 경쟁사들이 10여 년 전부터 시행해 온 인증키 암호화를 외면한 것은 일회성 실수가 아니라, 위험을 감수하는 것이 당연시된 조직 문화의 산물이다. 이처럼 비정상적인 상태가 정상으로 받아들여질 때, 대형 참사는 필연적으로 발생하게 된다.

5. 파급 효과 및 시장 반응: 고객 이탈, 주가 폭락, 그리고 신뢰의 상실

SKT 유심 정보 유출 사태는 단순한 기술적 문제를 넘어, 고객, 시장, 사회 전반에 걸쳐 막대한 파급 효과를 낳았다. 특히 통신 서비스의 근간인 ’신뢰’가 붕괴되면서 그 후폭풍은 거셌다.

5.1 고객 영향 및 2차 피해 위협

가장 직접적인 피해자는 2,696만 명에 달하는 가입자들이었다. 이들은 자신의 디지털 신원이 언제든 도용될 수 있다는 극심한 불안감에 시달려야 했다.

• 심 스와핑(SIM Swapping) 공포 확산: 이번 사태의 핵심 위협은 ‘심 스와핑’ 공격의 현실화다. 유출된 IMSI와 인증키(Ki)를 이용하면 공격자는 피해자의 유심을 원격으로 복제하여 자신의 기기에서 활성화할 수 있다.13 이 경우 피해자의 스마트폰은 통신이 두절되고, 공격자는 피해자의 전화번호로 수신되는 모든 전화와 문자메시지를 가로채게 된다. 이는 금융기관이나 포털 사이트의 비밀번호 찾기, 2단계 인증(2FA) 문자 등을 탈취하여 계정을 장악하고, 모바일 뱅킹, 주식 거래, 암호화폐 지갑 등에 접근해 금전적 자산을 탈취하는 범죄로 직결될 수 있다.39 실제로 국내외에서 심 스와핑을 통해 수억 원대의 암호화폐가 탈취된 사례가 이미 다수 보고된 바 있다.38

• 대규모 유심 교체 대란: 2차 피해에 대한 불안감으로 인해 가입자들이 유심을 교체하기 위해 전국 SKT 대리점으로 몰려들었다. SKT가 4월 28일부터 무료 교체를 시작했지만, 수요 예측 실패와 재고 부족으로 인해 현장에서는 극심한 혼란이 빚어졌다.8 일부 매장에는 ‘유심칩 마감’ 안내문이 붙었고, 고객들은 몇 시간을 기다려도 유심을 교체하지 못하는 상황이 속출했다.8 이는 SKT의 위기관리 능력 부재를 여실히 드러내며 고객 불만을 더욱 증폭시키는 계기가 되었다.

아래 표는 유출된 핵심 정보가 고객에게 미칠 수 있는 구체적인 위협을 정리한 것이다.

5.2 시장 및 재무적 영향

국내 1위 통신사의 신뢰 붕괴는 시장에 즉각적인 충격을 주었다.

• 대규모 가입자 이탈 (Churn): SKT에 대한 고객의 불신은 ’번호이동’이라는 실질적인 행동으로 나타났다. 사건 공개 직후, SKT 가입자들이 경쟁사인 KT와 LG유플러스로 대거 이탈하는 현상이 발생했다. 4월 29일 하루에만 35,902명이 번호이동을 통해 이탈했으며, 신규 유입을 제외한 순감 인원은 32,640명에 달했다.46 이탈 수요가 폭증하면서 SKT의 번호이동 전산 시스템이 일시적으로 마비되는 사태까지 벌어졌다.46 정부의 위약금 면제 조치 이후 이탈 현상은 더욱 가속화되었다.47

• 주가 폭락 및 기업가치 손상: 해킹 사태는 SKT의 재무 건전성과 미래 성장성에 대한 심각한 우려를 낳으며 주가에 직접적인 타격을 주었다. 사건 발생 전 5만 8천 원 선이던 주가는 5만 원 선이 위태로울 정도로 급락했다.49 국내외 증권사들은 유심 교체 비용, 가입자 이탈에 따른 매출 감소, 막대한 과징금, 신뢰 회복을 위한 마케팅 비용 증가 등을 이유로 SKT의 목표주가를 일제히 하향 조정했다.50 이는 이번 사태가 일회성 비용 지출을 넘어, 기업의 장기적인 경쟁력과 가치를 훼손했음을 시장이 인정한 것이다.

5.3 사회·정치적 파장

이번 사태는 통신 시장을 넘어 사회 전반에 걸쳐 큰 논란을 일으켰다.

• 초당적 비판 여론: 피해자가 전 국민의 절반에 달하는 만큼, 정치권은 여야를 막론하고 한목소리로 SKT의 안일한 대응과 보안 부실을 강하게 질타했다.5 이는 정파적 이해관계를 떠나 국민의 안전과 직결된 문제라는 공감대가 형성되었기 때문이다.

• 사회적 불신과 음모론 확산: SKT와 정부의 초기 대응이 미흡한 틈을 타, 온라인 커뮤니티를 중심으로 “유출된 유심 정보가 부정선거에 악용될 수 있다“는 등의 확인되지 않은 루머와 음모론이 확산되었다.45 이는 가뜩이나 불안한 민심을 더욱 자극하며 사태의 본질을 흐리고 불필요한 사회적 갈등을 유발하는 부작용을 낳았다.

6. 정부 대응과 사법 처리: 역대 최대 과징금과 경영진 수사

사상 초유의 통신 보안 참사에 대해 정부와 사법 당국은 신속하고 강력한 조치에 나섰다. 이는 단순한 기업의 과실을 넘어 국가 기간 통신망의 안정성을 위협하는 중대 사안이라는 판단에 따른 것이다. 특히 이번 대응은 과거 유사 사례에 비해 규제의 강도와 범위 면에서 한 단계 진일보했다는 평가를 받는다.

6.1 정부의 행정 조치

과학기술정보통신부를 중심으로 한 정부 부처는 즉각적인 시장 개입과 조사를 통해 피해 확산 방지와 진상 규명에 착수했다.

• 민관합동조사단 구성 및 전수 조사: 과기정통부는 KISA, 개인정보보호위원회, 경찰 등 관계기관 전문가들로 구성된 민관합동조사단을 즉시 현장에 파견했다.9 조사단은 사안의 심각성을 고려하여, SKT가 운영하는

전체 서버 42,605대를 대상으로 전수 점검을 실시하는 고강도 조사를 진행했다.6 이를 통해 숨겨져 있던 다수의 악성코드와 추가적인 보안 허점을 밝혀냈다.

• 신규 영업 중단이라는 초강수: 유심 교체를 원하는 고객이 폭증하며 전국적인 재고 부족과 혼란이 발생하자, 과기정통부는 2025년 5월 1일, SKT에 대해 신규 가입 및 번호이동 모집 업무를 중단하라는 강력한 행정지도를 내렸다.1 이는 단순 과징금을 넘어 기업의 핵심 영업 활동을 직접적으로 중단시킨 이례적인 조치로, 사태 해결을 최우선으로 하겠다는 정부의 강력한 의지를 보여주었다. SKT는 이를 수용하여 5월 5일부터 신규 영업을 전면 중단했다.46

• 위약금 면제 결정: 정부는 법률 검토를 통해 이번 사태가 SKT의 명백한 과실로 인해 발생했으며, 이는 ’안전한 통신서비스 제공’이라는 계약상의 주요 의무를 위반한 것이라고 판단했다.6 이에 따라, 해지를 원하는 가입자들이 약정 위약금 없이 계약을 해지할 수 있도록 하는 약관 적용을 최종 결정했다.51 이는 통신사 과실로 인한 정부 차원의 첫 위약금 면제 사례로, 소비자의 권익을 보호하는 중요한 선례를 남겼다.

6.2 개인정보보호위원회의 제재

개인정보보호위원회(이하 개보위)는 법이 허용하는 최고 수준의 제재를 통해 기업의 책임을 엄중히 물었다.

• 역대 최대 규모 과징금 부과: 개보위는 2025년 8월 27일 전체회의를 열어, 개인정보보호법 위반 혐의로 SKT에 과징금 1,347억 9,100만 원과 과태료 960만 원을 부과하기로 의결했다.37 이는 국내 개인정보 유출 사고 역사상 최대 규모의 과징금으로, 2022년 구글에 부과된 692억 원의 약 두 배에 달하는 금액이다.55

• 과징금 산정 배경: 개인정보보호법은 위반행위와 관련된 매출액의 3% 이내에서 과징금을 부과할 수 있도록 규정하고 있다. 개보위는 SKT의 무선통신사업 연간 매출(약 12조 7,700억 원)을 기준으로 삼았다.55 특히 △수년에 걸쳐 기본적인 안전조치 의무를 이행하지 않은 점, △침해 사실을 인지하고도 신고하지 않은 점, △유출된 정보의 민감성과 피해 규모가 막대하다는 점 등을 고려하여 ’매우 중대한 위반행위’로 판단, 높은 과징금을 산정했다.33

• SKT의 불복 가능성: SKT 측은 “조사 과정에서 당사의 조치 사항과 입장을 충분히 소명했음에도 결과에 반영되지 않아 아쉽다“는 입장을 밝히며, 향후 행정소송을 제기할 가능성을 시사했다.56

6.3 경찰 수사 진행 상황

형사적 책임을 규명하기 위한 경찰의 수사도 다각도로 진행되고 있다.

• 해킹 배후 추적: 서울경찰청 사이버수사대는 해커의 정체와 침투 경로를 밝히기 위해 국제 공조 수사를 벌이고 있다. 미국, 싱가포르 등 5개국 수사기관과 협력하고 해외 기업 18개사에 자료 협조를 요청했으며, 100개 이상의 의심 IP를 추적 중이다.5 수사 초기, 유출된 정보가 경유한 곳으로 미국 클라우드 서비스 업체 ’디지털오션’이 운영하는 싱가포르 서버가 특정되었으나, 이는 최종 목적지가 아닌 여러 경유지 중 하나로 밝혀져 배후 추적에 난항을 겪고 있다.30

• 경영진 수사 착수: 시민단체 등이 최태원 SK그룹 회장과 유영상 SKT 대표이사를 정보통신망법 위반(정보보호 조치 소홀) 혐의로 고발함에 따라, 경찰은 경영진의 관리·감독 책임에 대해서도 본격적인 수사에 착수했다.58 이는 보안 사고의 책임을 실무자를 넘어 최고 의사결정권자에게까지 묻겠다는 의미로, 수사 결과에 따라 큰 파장이 예상된다.

이처럼 정부와 사법기관의 전방위적인 대응은 과거의 미온적인 태도에서 벗어나, 국가 핵심 인프라에 대한 보안 위협을 더 이상 용납하지 않겠다는 강력한 신호를 시장에 보낸 것으로 해석된다. 이는 향후 국내 기업들의 보안 거버넌스에 대한 인식을 근본적으로 바꾸는 중요한 전환점이 될 것이다.

7. 사후 대응 및 재발 방지 대책 평가: 실효성과 남겨진 과제

사태 발생 이후 SKT는 고객 불안을 해소하고 추가 피해를 막기 위해 여러 대책을 내놓았다. 그러나 이들 대책의 실효성과 진정성에 대해서는 여전히 많은 과제가 남아있다. 또한, 이번 사건을 계기로 국내 정보보호 제도의 근본적인 개선 필요성이 대두되었다.

7.1 SK텔레콤의 대응 조치 평가

SKT는 3중 보호장치를 가동하고 대규모 보상안을 발표했으나, 대부분 사후약방문 식의 미봉책이라는 비판을 피하기 어렵다.

• 유심보호서비스: 이 서비스는 가입자의 유심과 단말기 정보를 1:1로 묶어, 복제된 유심이 다른 단말기에서 사용되는 것을 차단하는 기술적 조치다.61 정부와 SKT는 이 서비스가 유심 교체와 동일한 심 스와핑 방지 효과가 있다고 강조했다.14 하지만 이는 이미 유출된 인증키 자체를 무효화하는 근본적인 해결책이 아니다. 더 큰 문제는 서비스 출시 초기,

해외 로밍 중에는 이용이 불가능하다는 치명적인 한계가 있었다는 점이다.62 이로 인해 해외 출국자들은 공항에서 장시간 대기하며 유심을 교체해야 하는 불편을 겪어야 했다. 이 문제는 사태 발생 후 약 2개월이 지난 6월 12일에야 개선되었다.63

• FDS(비정상인증시도 차단 시스템) 강화: 고객의 평소 위치나 사용 패턴과 다른 비정상적인 통신망 인증 시도를 실시간으로 탐지하고 차단하는 시스템을 최고 보안 수준으로 격상하여 운영했다.7 이는 2차 피해를 막는 데 일정 부분 기여할 수 있으나, 정교한 공격을 모두 막을 수 있을지는 미지수다.

• 무료 유심 교체: 유출된 인증키를 폐기하고 새로운 키를 발급받는 가장 확실한 조치다. 그러나 SKT는 2,300만 명이 넘는 가입자 수에 비해 턱없이 부족한 100만 개의 초기 재고만 확보하여 62, 전국적인 ’유심 대란’을 초래하며 위기관리 능력의 부재를 스스로 증명했다.43

• 고객 보상 및 투자 계획: SKT는 8월 통신요금 50% 감면 등을 포함한 5,000억 원 규모의 ’고객 감사 패키지’와, 향후 5년간 7,000억 원을 정보보호 분야에 투자하겠다는 혁신안을 발표했다.51 그러나 이러한 대규모 투자 계획이 구체적인 실행 로드맵 없이 선언에 그칠 수 있다는 회의적인 시각도 존재한다. 특히 SKT의 보안 전담 인력이 경쟁사 평균에도 미치지 못하는 현실 속에서 약속된 대책이 실질적인 효과를 거둘 수 있을지는 지속적인 감시가 필요하다.4

7.2 국내외 유사 사례와의 비교 분석

SKT 사태를 국내외 다른 통신사들의 정보 유출 사례와 비교하면, 규제와 소비자 보호 수준의 차이가 명확히 드러난다.

이 비교는 몇 가지 중요한 시사점을 제공한다. 첫째, SKT 사태는 유출된 정보의 민감도(인증키 포함)와 규모 면에서 국내외 어떤 사례보다도 심각하다. 둘째, 정부의 과징금 규모는 과거에 비해 대폭 상향되었으나, 미국의 T-Mobile 사례처럼 소비자들이 집단소송을 통해 직접적이고 실질적인 거액의 배상을 받는 구조와는 여전히 차이가 있다. 이는 국내의 징벌적 손해배상 제도가 미비하고 소비자 구제 절차가 복잡하다는 한계를 보여준다.

7.3 제도적 개선 과제

이번 사태는 개별 기업의 문제를 넘어, 대한민국의 정보보호 제도 전반에 대한 근본적인 성찰을 요구한다.

• 정보보호최고책임자(CISO) 역할의 실질화: SKT 사태에서 CISO는 사실상 ’허수아비’에 불과했다는 비판이 제기되었다.33 CISO가 IT 부서의 하위 직책에 머무르지 않고, CEO에게 직접 보고하며 전사적인 보안 정책에 대한 실질적인 권한과 독립성, 예산 통제권을 가질 수 있도록 법적 지위를 강화해야 한다.67

• ISMS-P 인증 제도의 실효성 확보: SKT는 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 보유하고 있었음에도 불구하고 참사를 막지 못했다.67 이는 인증 제도가 서류상의 형식적인 절차로 전락할 위험이 있음을 보여준다. 따라서 인증 심사 시, 핵심 시스템의 암호화 여부, 최신 위협에 대한 실질적인 방어 훈련 등 기술적이고 구체적인 항목에 대한 검증을 강화하고, 인증 획득 이후에도 상시적인 사후 관리를 통해 보안 수준이 지속적으로 유지되는지 점검하는 체계가 필요하다.70

8. 결론: 총체적 부실이 남긴 교훈과 미래를 위한 제언

SK텔레콤 유심 정보 대량 유출 사태는 고도화된 외부의 사이버 공격과 기업 내부의 장기적이고 구조적인 보안 관리 부실이 결합하여 발생한, 명백한 ’예견된 인재(人災)’였다. 이 사건의 본질은 단순히 해킹 기술을 방어하지 못한 기술적 실패에 국한되지 않는다. 그보다는 정보보호를 비용으로만 간주하고 기본적인 안전조치마저 외면한 경영 철학의 부재, 위험 신호를 인지하고도 묵살한 무너진 보안 거버넌스, 그리고 업계 1위라는 지위에 안주하여 보안 혁신을 게을리한 조직 문화의 총체적 실패에 있다.

통신사업자는 단순한 서비스 제공 기업이 아니다. 이들은 국민의 통신 주권을 수호하고, 디지털 경제의 신뢰를 지탱하는 국가 핵심 인프라 운영자로서의 막중한 사회적, 법적 책임을 지닌다. 이번 사태는 그 책임을 방기했을 때, 개인의 프라이버시 침해를 넘어 국가 전체의 금융 시스템과 사회적 안녕까지 위협하는 심각한 혼란이 초래될 수 있음을 명백히 보여주었다. 따라서 이 뼈아픈 교훈을 바탕으로, 다시는 이와 같은 참사가 반복되지 않도록 다층적이고 근본적인 변화를 모색해야 한다.

이를 위해 다음과 같은 종합적인 재발 방지 대책을 제언한다.

1. 기업 (SK텔레콤 및 통신업계)의 과제

• 보안 거버넌스의 전면 혁신: 정보보호최고책임자(CISO)를 CEO 직속의 독립 조직으로 격상하고, 전사적 보안 정책에 대한 최종 결정권과 충분한 예산 및 인력 통제권을 부여해야 한다.

• 경영 철학의 전환: 보안 투자를 비용이 아닌, 기업의 생존과 직결된 핵심 경쟁력으로 인식하는 문화적 전환이 시급하다. 이익 극대화보다 고객 정보 보호를 최우선 가치로 삼는 경영 철학을 확립해야 한다.

• ‘보안 내재화(Security by Design)’ 원칙의 확립: 모든 신규 시스템과 서비스를 기획하고 개발하는 단계부터 보안을 필수 요소로 고려하고 설계에 반영해야 한다. 특히 유심 인증키와 같은 핵심 데이터는 생성 시점부터 최고 수준의 암호화 기술을 적용하는 것을 의무화해야 한다.

• 상시 위협 대응 체계 구축: 최신 공격 기법을 모의 훈련하는 ‘레드팀(Red Team)’ 활동을 정례화하고, 침해사고 발생 시 투명하고 신속하게 공개하며, 고객 피해를 최소화하는 위기관리 매뉴얼을 실효성 있게 재정비해야 한다.

2. 정부 및 규제기관의 과제

• 규제 패러다임의 전환: ISMS-P 인증 제도를 형식적인 서류 심사에서 벗어나, 실제 공격 시나리오에 기반한 실질적인 방어 능력과 지속적인 위협 대응 체계를 검증하는 방향으로 전면 개편해야 한다.

• 핵심 인프라 사업자에 대한 감독 강화: 통신, 금융 등 국가 핵심 인프라 사업자에 대해서는 정보보호 투자액 비중, 전문 인력 확보 기준 등을 법제화하고, 이를 충족하지 못할 경우 강력한 제재를 부과하는 방안을 검토해야 한다.

• 소비자 피해 구제 실질화: 대규모 정보 유출 사고 발생 시, 피해자들이 용이하게 손해배상을 받을 수 있도록 집단소송제도를 활성화하고, 기업의 고의·중과실이 입증될 경우 강력한 징벌적 손해배상제도를 도입하여 기업의 책임 의식을 근본적으로 제고해야 한다.

3. 소비자(정보 주체)의 역할

• 인증 수단의 다각화: 이번 사태는 문자메시지(SMS) 기반 2단계 인증(2FA)의 취약성을 드러냈다. 금융 거래 등 중요한 서비스에는 구글 OTP와 같은 인증 앱(Authenticator)이나 물리적인 하드웨어 보안 키(YubiKey 등)를 사용하는 등, 보다 안전한 다중 인증 수단을 적극적으로 활용해야 한다.39

• 능동적인 보안 관리: 통신사가 무료로 제공하는 ’유심보호서비스’나 ‘해외 로그인 차단 서비스’ 등에 가입하고, 스마트폰 자체의 유심(SIM) 잠금 PIN 번호를 설정하는 등 스스로를 보호하기 위한 능동적인 노력이 필요하다.72

• 디지털 리터러시 향상: 출처가 불분명한 문자메시지나 이메일의 링크를 클릭하지 않는 등, 날로 지능화되는 피싱 및 스미싱 공격에 대한 경각심을 늦추지 말아야 한다.

SKT 사태는 대한민국 사회 전체에 깊은 상처와 값비싼 교훈을 남겼다. 이 교훈을 바탕으로 기업, 정부, 그리고 국민 모두가 각자의 위치에서 책임을 다할 때, 비로소 무너진 신뢰를 회복하고 더 안전한 디지털 사회로 나아갈 수 있을 것이다.

9. 참고 자료

1. SK텔레콤 유심 정보 유출 사태 종합 분석: 사건 개요부터 시장·보안 과제까지 - Goover, https://seo.goover.ai/report/202505/go-public-report-ko-73c0d5e0-00a6-420b-a4d0-b3d2f34d18bf-0-0.html
2. ‘가입자 2300만’ SKT 해킹… 유심 칩 정보 유출됐다 - 조선일보, https://www.chosun.com/economy/industry-company/2025/04/23/F2ZBUOBEEFA5BO5YPGYSUND3JU/
3. SKT 해킹, 사실상 전 가입자 유심정보 털렸다… 2695만건 유출 - 조선일보, https://www.chosun.com/economy/industry-company/2025/05/19/CIWXBMK5O5CPDGTAIEXD67LR5A/
4. [SKT 해킹 합동조사단 발표] BPFDoor, SKT에 3년간 잠입…유심 2696만 건 유출의 전말, https://www.dailysecu.com/news/articleView.html?idxno=167661
5. SK텔레콤 유심 정보 유출 사고 - 나무위키, https://namu.wiki/w/SK%ED%85%94%EB%A0%88%EC%BD%A4%20%EC%9C%A0%EC%8B%AC%20%EC%A0%95%EB%B3%B4%20%EC%9C%A0%EC%B6%9C%20%EC%82%AC%EA%B3%A0
6. SK텔레콤 침해사고 최종 조사결과 발표, https://eiec.kdi.re.kr/policy/callDownload.do?num=268466&filenum=1&dtime=20250707174354
7. SKT 유심 해킹 사고, 발생 원인과 파장은? - Security & Intelligence 이글루코퍼레이션, https://www.igloo.co.kr/security-information/skt-%EC%9C%A0%EC%8B%AC-%ED%95%B4%ED%82%B9-%EC%82%AC%EA%B3%A0-%EB%B0%9C%EC%83%9D-%EC%9B%90%EC%9D%B8%EA%B3%BC-%ED%8C%8C%EC%9E%A5%EC%9D%80/
8. [SKT 해킹 사태] 2주 간의 타임라인으로 본 사건의 재구성 - 보안뉴스, http://www.boannews.com/media/view.asp?idx=137089
9. [Q&AI] SKT, 초유의 유심정보 유출… 유심보호서비스는 어떻게 - 지디넷코리아, https://zdnet.co.kr/view/?no=20250424152548
10. SK텔레콤 유심 정보 유출 사고/논란 - 나무위키, https://namu.wiki/w/SK%ED%85%94%EB%A0%88%EC%BD%A4%20%EC%9C%A0%EC%8B%AC%20%EC%A0%95%EB%B3%B4%20%EC%9C%A0%EC%B6%9C%20%EC%82%AC%EA%B3%A0/%EB%85%BC%EB%9E%80
11. SKT 유심 데이터 해킹 사태 총정리, 지금 알아야 할 것들 - 메일리, https://maily.so/thesync/posts/32z8wd44zn4
12. [SKT 해킹 사태] SKT 악성코드, 이렇게 침투했다…“총체적 관리 부실·대응 미흡” - 보안뉴스, https://m.boannews.com/html/detail.html?idx=138001
13. 2025년 SK텔레콤 유심 해킹 사건 - 위키백과, 우리 모두의 백과사전, https://ko.wikipedia.org/wiki/2025%EB%85%84_SK%ED%85%94%EB%A0%88%EC%BD%A4_%EC%9C%A0%EC%8B%AC_%ED%95%B4%ED%82%B9_%EC%82%AC%EA%B1%B4
14. [팩플] SKT 해킹 1차 조사 결과 “유심 복제 가능 정보 4종 유출…IMEI 유출은 없어” | 중앙일보, https://www.joongang.co.kr/article/25332358
15. SK텔레콤 유심 해킹 사태 분석, https://skt-hack.wisoft.io/
16. SK텔레콤 유심 해킹 사태 분석, https://skt-hack.wisoft.io/analysis
17. SKT 해킹과 연관 제기된 이반티, EPMM 제로데이 취약점 발견…원격 코드 실행 공격에 이미 악용, https://sslc.kr/board/news/1020
18. SKT 해킹 가설: 유심 데이터 탈취와 BPFDoor 설치, 어떻게 이뤄졌나? | PLURA Blog, https://blog.plura.io/ko/column/skt-hacking-hypothesis/
19. [SKT 해킹 사태] SKT, 취약점 밝혀진 OS 8년간 그대로 썼다…유출 부른 문제점들은? - 보안뉴스, https://m.boannews.com/html/detail.html?idx=138964
20. SKT 악성코드, 대부분 중국 해킹 그룹이 쓰는 ‘이것’…뭐길래? [팩플] - 중앙일보, https://www.joongang.co.kr/article/25337089
21. “유심 해킹 사고, SKT 과실”…정부, 위약금 면제사유 인정 / YTN - YouTube, https://www.youtube.com/watch?v=F3_nQpe1nK0
22. [기획특집] 보이지 않는 악성코드 ‘BPF도어’ 습격 - 컴퓨터월드, https://www.comworld.co.kr/news/articleView.html?idxno=51587
23. 2025.04.18 SK텔레콤 USIM 정보 유출 해킹 사건 분석 - 스마일서브 IDCHOWTO닷컴, https://idchowto.com/2025-04-18-sk%ED%85%94%EB%A0%88%EC%BD%A4-usim-%EC%A0%95%EB%B3%B4-%EC%9C%A0%EC%B6%9C-%ED%95%B4%ED%82%B9-%EC%82%AC%EA%B1%B4-%EB%B6%84%EC%84%9D/
24. APT 공격부터 C2 침투까지 : DBSAFER 실전 BPFDoor 대응 리포트 [피앤피시큐어] - YouTube, https://www.youtube.com/watch?v=qwaegOolxKk
25. 스텔스 악성 코드 BPFDoor, 글로벌 네트워크 위협! - YouTube, https://www.youtube.com/watch?v=eF_5mzEDNjU
26. 리눅스 환경에서 패킷 필터를 악용하는 BPFDoor 악성코드 발견, https://isarc.tachyonlab.com/5289
27. “알기 쉽게 분석한” 최근 SK텔레콤 해킹 사건과 기술적 대응방안 그리고 시사점, https://www.inss.re.kr/common/download.do?atchFileId=F20250509130332289&fileSn=0
28. SKT 해킹에 짙어지는 중국 배후설…“中 정부 지원 없인 불가능” - 시사저널, https://www.sisajournal.com/news/articleView.html?idxno=335173
29. SKT 해킹, 사이버 테러 의심…미 동맹 노린 중국 소행? / YTN - YouTube, https://www.youtube.com/watch?v=rEGC7j8s8jc
30. SKT 해킹, 첫 유출 경유지는 ‘디지털오션’ …배후 추적에 ‘난항’ - 이데일리, https://www.edaily.co.kr/News/Read?newsId=01679366642172528&mediaCodeNo=257
31. SK텔레콤 침해사고 최종 조사결과 발표 - 대한민국 정책브리핑, https://www.korea.kr/common/download.do?fileId=198203548
32. SKT 고객 개인정보 부실관리 논란…”정보보호 인증제도 실효성 의문”, https://www.cisp.or.kr/25837/
33. 2300만명 개인정보 털린 SKT에 1348억 과징금…역대 최대 - 중앙일보, https://www.joongang.co.kr/article/25362376
34. 2025 SKT 해킹 사건 정리 (Feat. BPFdoor 악성코드) - 감자 텃밭 - 티스토리, https://hg2lee.tistory.com/entry/2025-SKT-%ED%95%B4%ED%82%B9-%EC%82%AC%EA%B1%B4-%EC%A0%95%EB%A6%AC-Feat-BPFdoor-%EC%95%85%EC%84%B1%EC%BD%94%EB%93%9C
35. SK텔레콤 침해사고 최종 조사결과 발표 상세 내용 - 쉽고 빠르고 믿을 수 있는, https://lawpid.kr/2025/07/04/sk%ED%85%94%EB%A0%88%EC%BD%A4-%EC%B9%A8%ED%95%B4%EC%82%AC%EA%B3%A0-%EC%B5%9C%EC%A2%85-%EC%A1%B0%EC%82%AC%EA%B2%B0%EA%B3%BC-%EB%B0%9C%ED%91%9C-%EC%83%81%EC%84%B8-%EB%82%B4%EC%9A%A9/
36. SK텔레콤 유심 해킹사태는 “인재였다” - 스트레이트뉴스, https://www.straightnews.co.kr/news/articleView.html?idxno=270103
37. “SKT 총체적 보안 부실 확인”…역대 최대 1,347억 과징금 폭탄 / YTN - YouTube, https://www.youtube.com/watch?v=3Zrjy7XVjuk
38. [SKT 해킹 사태] SKT 유심 정보 유출로 본 최악의 시나리오 ‘심스와핑’ - 보안뉴스, https://m.boannews.com/html/detail.html?idx=137021&skind=5
39. 한 번 털리면 끝…SKT발 스마트폰 유심 해킹 초비상 - 매일신문, https://www.imaeil.com/page/view/2025042615102415146
40. 심스와핑(SIM Swapping) 공격을 통한 가상 자산 탈취, 대응 방안은? 상세화면 | 한국재정정보원 > 주요사업 > 사이버안전센터 운영 > 사이버위협 정보 및 통계 > 보안뉴스, https://www.fis.kr/ko/major_biz/cyber_safety_oper/attack_info/security_news?articleSeq=2340
41. 폰이 분명 내 손에 있는데, 누군가 가로챘다…심 스와핑 발칵 [트랜D] - 중앙일보, https://www.joongang.co.kr/article/25091396
42. 심 스와핑 통해 수백만 암호화폐 훔쳐낸 20대, 공항서 검거 - 보안뉴스, https://www.boannews.com/media/news_print.asp?idx=71859
43. SK텔레콤 유심 정보 유출 사태와 대응 현황: 문제점과 향후 과제 - Goover, https://seo.goover.ai/report/202505/go-public-report-ko-c5201fc2-dc7c-45bb-b406-a5b2549334da-0-0.html
44. 사이버 공격 유형과 보안사고 사례로 보는 사이버 보안 중요성 - Codex - 다빈치 블로그, https://www.dvn.ci/blog/%EC%82%AC%EC%9D%B4%EB%B2%84-%EA%B3%B5%EA%B2%A9-%EC%9C%A0%ED%98%95%EA%B3%BC-%EB%B3%B4%EC%95%88%EC%82%AC%EA%B3%A0-%EC%82%AC%EB%A1%80%EB%A1%9C-%EB%B3%B4%EB%8A%94-%EC%82%AC%EC%9D%B4%EB%B2%84-%EB%B3%B4%EC%95%88-%EC%A4%91%EC%9A%94%EC%84%B1–22611
45. SKT 초기 대응, 유출된 데이터 구체적인 규모와 범위 명확히 밝히지 못해, “2차 피해가 확인되지 않았다” 반복하며 책임 회피 인상 줘, 이는 소비자 불안 가중, SKT 신뢰도 더욱 떨어뜨려 - 데일리머니, http://www.thedailymoney.com/news/articleView.html?idxno=1110318
46. SK텔레콤 유심 정보 유출 사고/여파 - 나무위키, https://namu.wiki/w/SK%ED%85%94%EB%A0%88%EC%BD%A4%20%EC%9C%A0%EC%8B%AC%20%EC%A0%95%EB%B3%B4%20%EC%9C%A0%EC%B6%9C%20%EC%82%AC%EA%B3%A0/%EC%97%AC%ED%8C%8C
47. SKT 가입자 이탈폭, 지난 2개월 중 최대치…약 2만8000명 빠져 - 디지털데일리, https://m.ddaily.co.kr/page/view/2025071312142011103
48. “떠날 수 있는 기회” 1만7000명 이탈…SKT 신뢰 회복 난항 - 매거진한경, https://magazine.hankyung.com/business/article/202507083915b
49. SK Telecom Co Ltd (017670) 과거 가격 데이터 - Investing.com - 인베스팅닷컴, https://kr.investing.com/equities/sk-telecom-co-ltd-historical-data
50. “가입자 이탈로 5만원선 깨질라”…증권가, ‘해킹 사태’ SKT 투자의견 줄하향 - 인베스트조선, https://www.investchosun.com/site/data/html_dir/2025/05/13/2025051380075.html
51. “고객 책임 없다” 정부, SKT 유심 해킹에 ‘위약금 면제’ 최종 판단…SKT ‘책임과 약속’ 프로그램 발표 - 이로운넷, https://www.eroun.net/news/articleView.html?idxno=59036
52. SKT 해킹, ‘총체적 부실’ 결론… 4년간의 보안 구멍, 은폐 정황까지(종합) | 이코노믹데일리, https://www.economidaily.com/view/20250704143519911
53. 2300만명 정보 유출.. SKT에 과징금 1348억 때렸다 - 조선일보, https://www.chosun.com/national/national_general/2025/08/28/AWRGUC6UXNEPZH3V7WZCHGY4MI/
54. SKT 개인정보유출 집단분쟁 병합해 조정 재개…추가 신청도 접수, https://www.yna.co.kr/view/AKR20250904053000530
55. SK텔레콤 장기간 관리 소홀에 역대 최대 과징금…구글 등과 형평성 논란도 - 한국일보, https://www.hankookilbo.com/News/Read/A2025082815590004847
56. ‘정보 유출’ SKT에 1348억 역대 최대 과징금 - 동아일보, https://www.donga.com/news/Society/article/all/20250829/132279017/2
57. [자막뉴스] 국내 1위 SKT, 과징급도 역대급…가입자 줄소송 위기일발 / YTN - YouTube, https://www.youtube.com/watch?v=V_uPtEndGmc
58. [단독] ‘SKT 해킹사태’ 최태원 등 수사 착수…배후 추적도 / YTN - YouTube, https://www.youtube.com/watch?v=T5SWJCh9ZGo
59. ‘SKT 해킹’ 고발 본격 수사…배후 추적에 집단 소송까지 / YTN - YouTube, https://www.youtube.com/watch?v=MIYc9WDKOQU
60. [단독] ‘SKT 해킹사태’ 최태원 등 수사 착수…배후 추적도 - YTN 사이언스, https://m.science.ytn.co.kr/program/view_today.php?s_mcd=0082&key=202505211111201526
61. 유심을 둘러싼 오해에 대해 설명 드립니다. - SK텔레콤 뉴스룸, https://news.sktelecom.com/213036
62. SKT, ‘유심보호서비스’ 가입 강조…피해 발생 시 100% 책임 - 한국금융경제신문, https://www.kfenews.co.kr/news/articleView.html?idxno=635251
63. SKT “로밍도 유심보호서비스”…국외 이용자도 자동 가입 - 한겨레, https://www.hani.co.kr/arti/economy/economy_general/1196941.html
64. 통신사 5년간 ‘개인정보 유출’ 48만건…LGU+ 가장 많아 - 한겨레, https://www.hani.co.kr/arti/economy/economy_general/1113168.html
65. SK텔레콤 유심 해킹 사태 분석, https://skt-hack.wisoft.io/similar-cases
66. [SKT 해킹 사태] 美 T모바일, 개인정보 유출 피해 고객에 최대 3200만원 배상…SKT는?, https://m.boannews.com/html/detail.html?idx=137082
67. [SKT 해킹 사태] “‘SKT 재발’ 막으려면 인증제 실효성 확보, CPO 위상 제고 필요” - 보안뉴스, http://www.boannews.com/media/view.asp?idx=137191
68. 정보보호 최고책임자(CISO) 제도개선으로 정보보호 실효성 강화 | 경제정책자료 |KDI 경제교육, https://eiec.kdi.re.kr/policy/materialView.do?num=214458
69. [ISMS-P 인증기준 안내서] 1. 관리체계 수립 및 운영(1.1.2 최고책임자의 지정), https://abraham-hwang.tistory.com/entry/ISMS-P-%EC%9D%B8%EC%A6%9D%EA%B8%B0%EC%A4%80-%EC%95%88%EB%82%B4%EC%84%9C-1-%EA%B4%80%EB%A6%AC%EC%B2%B4%EA%B3%84-%EC%88%98%EB%A6%BD-%EB%B0%8F-%EC%9A%B4%EC%98%81112-%EC%B5%9C%EA%B3%A0%EC%B1%85%EC%9E%84%EC%9E%90%EC%9D%98-%EC%A7%80%EC%A0%95
70. ISMS-P 인증, 실효성 논란에도 필요한 이유 | Insight - 펜타시큐리티, https://www.pentasecurity.co.kr/insight/isms-p-certification-necessity/
71. “개인정보보호 인증(ISMS-P) 실효성 확보를”···개인정보위, 산업계와 긴급 간담회, https://zdnet.co.kr/view/?no=20250509093943
72. 내 정보도 해킹? 유심 정보 털린 SK텔레콤, 지금 당장 해야 할 보안 설정 4가지 - Whoscall, https://whoscall.com/ko/blog/articles/1664-sk%ED%85%94%EB%A0%88%EC%BD%A4_%EC%9C%A0%EC%8B%AC%EC%A0%95%EB%B3%B4%ED%95%B4%ED%82%B9_%EB%B3%B4%EC%95%88%EC%84%A4%EC%A0%95
73. 심스와핑(SIM Swapping) 공격을 통한 가상 자산 탈취, 대응 방안은? - SK Shieldus, https://www.skshieldus.com/download/files/download.do?o_fname=2.%20EQST%20insight_Special%20Report_202202.pdf&r_fname=20220221105408631.pdf