‘SKT 유심 해킹 사태’…타임라인 따라가보니

프린트

Live 중기 ㅣ 경제일반 ‘SKT 유심 해킹 사태’…타임라인 따라가보니 통신사 역사상 최악 사태 ‘SKT 해킹’…정보보호 투자 중요성㊤

기사입력2025-05-23 11:00

지난 4월 발생한 SKT 유심 해킹 사태가 장기화되며, 이용자들의 불안 역시 지속되고 있다. SKT의 유심 해킹 사태는 한 기업의 보안 이슈로 그치는 것이 아니다, 디지털 시대에 정보보안의 중요성을 되짚어봐야 함을 시사하는 중요한 사건이다.

SKT의 유심 해킹 사태와 그 문제점은 무엇이고, 날로 커지는 해킹 위협과 정보보안을 위해 필요한 대책은 무엇일까.

SKT 대규모 유심 해킹 사태 타임라인

▲SKT 해킹, 최초 악성코드 설치 시점은 2022년 6월 15일로 파악됨.

▲4월 18일: SKT, 오후 6시 9분에 해킹 이상 징후 인지. 오후 11시 20분에 내부 시스템에서 악성코드 발견, 해킹 공격 사실 확인.

▲4월 19일: SKT, 오전 1시 40분부터 어떤 데이터가 유출됐는지 분석 시작. 오후 11시 40분, 해커의 악성코드로 이용자 유심과 관련한 일부 정보가 유출된 정황을 확인.

▲4월 20일: SKT, 오후 4시 46분에 한국인터넷진흥원(KISA)에 해킹 사태를 신고함. 시스템 외부 침입 사실을 최초로 인지한 때로부터 약 45시간이 지난 시점으로, 24시간 이내에 사이버 침해 사고를 신고해야 하는 규정을 위반함.

▲4월 22일: SKT, 개인정보보호위원회에 해킹 사태 신고.

▲4월 25일: SKT, 모든 고객의 유심 무상 교체를 결정, 이미 교체한 고객에게는 비용을 환급하기로 발표. 유심 재고 부족으로 본격적인 대란이 시작됨. SKT 가입자들은 유심 교체를 위해 대리점 오픈런 또는 줄지어 대기 시작.

▲4월 26일: SKT 가입자들이 PASS 앱을 통해 ‘명의도용 방지’ 서비스를 신청하려 했으나, 신청자 폭증으로 서비스 먹통 현상 발생.

▲4월 27일: SKT, “유심보호서비스 가입 후 피해 발생 시 100% 보상하겠다”라고 발표. 그러나 신청자 폭증으로 서비스가 마비되며 유심보호서비스에 가입할 수 없는 상황이 지속됨.

▲4월 28일: SKT, 고객 몰림을 방지하기 위해 유심 교체를 예약제로 전환. 모바일 앱과 웹페이지에서 본인 인증을 거쳐 교체 희망 매장을 선택하면 신청하도록 조치했으나, 고객에게 직접 통지하지 않고 SKT 공식 홈페이지에만 게재함. 온라인 예약 시스템에 신청자가 몰리면서 접속 장애 시작, 유심 부족으로 온·오프라인 모두 교체가 어려운 상황이 지속됨.

▲4월 29일: 과학기술정보통신부 등 민관합동조사단, SKT 해킹 사태 1차 발표. 공격받은 정황이 있는 SKT 서버 5대 조사, BPF Door 계열의 악성코드 4종 확인. SKT에서 유출된 정보는 가입자 전화번호와 가입자 식별키(IMSI) 등 유심 복제에 활용될 수 있는 정보 4종, 유심 정보 처리에 필요한 정보 21종으로, 총 25종의 데이터가 유출된 것으로 확인됨. 단말기 고유식별번호(IMEI) 유출은 없는 것으로 발표.

SKT, “유심 포맷 방식을 개발해 5월 중순에 적용할 예정이며, 이는 칩 교체와 동일한 효과가 있다”라고 발표.

SKT, 가입자에게 ‘사이버 침해 사고 관련 안내’ 문자메시지 첫 발송.

▲4월 30일: 국회 과학기술정보방송통신위원회(이하 과방위) 방송·통신 분야 청문회 진행, SKT 유영상 대표 증인으로 출석. 국회 과방위, SKT에 위약금 면제 촉구.

SKT 류정환 부사장, 청문회에서 “유심 관련 정보는 암호화되지 않은 상태였다”라고 실토.

SKT, “유심보호서비스 미가입자도 복제 문제가 생기면 보상하겠다”라고 발표.

SKT 알뜰폰 사업자 세븐모바일, 가입자에게 ‘유심보호서비스 및 유심 무료 교체 안내’에 관한 문자메시지 첫 발송.

▲5월 1일: 정부, SKT 측에 당분간 신규 고객 모집을 중단하도록 행정 지도.

▲5월 2일: SKT, 모든 고객이 별도로 신청하지 않아도 유심보호서비스에 가입할 수 있도록 이용 약관을 신고함. 늑장 대응에 관한 비판 이어짐.

▲5월 5일: SKT, 유심 교체 수요가 안정될 때까지 전국 2600여개 T월드 매장에서 신규 가입자 모집 중단. 전 고객 유심보호서비스 자동 가입 실시.

▲5월 7일: SK그룹 최태원 회장 대국민 사과 브리핑. SKT, 전 고객 유심보호서비스 가입 조치 완료.

▲5월 8일: SKT 유영상 대표, “임팩트가 너무 커서 위약금 면제 쉽지 않다”라고 언급.

▲5월 9일: SKT, 개인정보보호위원회의 심의·의결(5월 2일)에 따른 후속 조치로 가입자에게 ‘유심 관련 개인정보 유출 가능성 통지’ 문자메시지 발송.

▲5월 12일: SKT, 유심 재설정 솔루션 도입. 해외 로밍 중인 고객도 유심보호서비스를 받을 수 있도록 조치 완료.

▲5월 16일: SKT 이용자 9175명, 서울중앙지법에 손해배상청구 공동소송 소장 제출. SKT, 고객신뢰위원회 발족 및 첫 회의 진행.

▲5월 18일: SKT, 독립기구인 ‘고객신뢰회복위원회’ 출범 발표. 위원회는 외부 전문가 5명으로 구성됨.

▲5월 19일: 과학기술정보통신부 등 민관합동조사단, SKT 해킹 사태 2차 발표. SKT에서 해킹 공격을 받은 서버는 23대로 파악됨(1차 발표 때보다 18대 늘어남). 1차 조사에서 밝힌 악성코드 4종 외에 21종이 추가로 확인됨(BPFDoor 계열 24종, 웹셀 1종). 1차 발표 때와 달리, 단말기 고유식별번호(IMEI) 29만1831건과 다수의 개인정보(이름·생년월일·전화번호·이메일 등)이 유출됐을 가능성이 있는 것으로 밝혀짐. 유출된 유심 정보의 규모는 9.82GB, 가입자 식별키(IMSI) 기준 2695만7749건으로 확인됨. SKT 해킹은 3년 전부터 진행된 것으로 조사됨.

SKT, T월드 매장에 방문하기 어려운 고객 대상으로 유심 교체 및 재설정 현장 방문 진행 시작.

▲5월 21일: 개인정보보호위원회, SKT에서 유출된 정보가 싱가포르로 흘러간 정황 확인. 해킹 사태를 파악하려면 국제 공조도 필요한 상황.

▲유상임 과기정통부 장관, “민관합동조사단에서 SKT 해킹의 원인을 철저히 조사하고 있으며, 결과는 6월 말이 되어야 나올 것”이라고 발표.

국내 1위 통신사의 배신…소극적인 대응에 고객만 ‘분통’

SKT 유심 해킹 사태의 피해자는 SKT 가입자 약 2300만명과 SKT 회선을 쓰는 알뜰폰 가입자 187만명을 합해 약 2500만명에 달한다. 이번 사태에 실망과 불안감을 느끼면서 이탈하는 고객도 꾸준히 늘고 있다. 지난 4월 SKT에서 다른 통신사로 이동한 고객은 23만7000여명으로, 전월과 비교해 약 87% 늘어난 것으로 나타났다. 그중 9만5953명은 KT로, 8만6005명은 LG유플러스로 이동했다. 사태가 장기화됨에 따라 향후에도 이탈자는 계속해서 발생할 것으로 보인다.

이번 사태의 가장 큰 문제는 SKT가 고객의 민감한 정보를 보호해야 할 의무에 소홀하면서 고객의 신뢰를 훼손했다는 것이다. 2024년 기준 SKT의 무선서비스 가입자는 약 2300만명으로, 이동통신 3사 중 가장 많은 고객을 보유하고 있다. 매출액은 약 10조6722억원, 영업이익은 약 1조8234억원으로 이동통신 3사 중 가장 높은 수익을 올렸다. 그러나 이동통신 3사의 정보보호 투자액을 비교해보면, SKT는 통신 3사 중에 가장 적은 금액인 600억원을 투자한 것으로 드러났다. 가장 많은 가입자를 보유하고 가장 많은 수익을 보면서도 정보보호 조치에는 가장 인색한 셈이다. KT는 SKT의 2배에 달하는 정보보호 투자액을 쓰고 있으며, LG U+의 경우 가입자 수는 SKT의 절반에 불과하지만 SKT보다 정보보호 투자액을 더 많이 쓰고 있다는 점과 비교한다면 비판을 피하기 어렵다.

SKT의 정보보호 투자비는 2022년 626억5710만원으로, 2024년에는 정보보호 투자비를 4.4% 줄인 것으로 나타났다. 심지어 SKT는 이동통신 3사 중 유일하게 유심 정보를 암호화 없이 평문으로 저장해 온 것으로 드러났다. 즉 이번 대규모 해킹 사태의 근본적인 원인은 SKT의 안일한 정보보호 조치에 있다.

2024년 기준 이동통신 3사 정보보호 투자액 비교

구분	SKT	KT	LG U+
휴대폰 가입자 수	약 2307만명	약 1336만명	약 1094만명
매출액 (무선 서비스 기준)	약 10조 6722억원	약 6조 9599억원	약 6조 1711억원
영업이익	1조 8234억원	8095억원	8631억원
정보보호 투자액	600억원	1218억원	632억원

해킹 사태를 인지한 이후의 대처 역시 소극적이었다. SKT는 해킹 사태를 최초로 인지한 때로부터 약 45시간이 지난 뒤 한국인터넷진흥원에 신고함으로써, 사이버 침해 사고 시 24시간 이내에 신고해야 하는 규정을 위반했다.

고객에게 공식 통지와 사과 역시 늦어졌다. 해킹을 인지한 일자는 4월 18일이었으나 가입자에게 ‘사이버 침해 사고 관련 안내’ 문자메시지를 발송한 날은 4월 29일이었다. 열흘이 넘도록 공식 통지가 없으니 고객들의 불안감은 더 커질 수밖에 없었다. 고객들은 뉴스를 통해 소식을 접하고 스스로 대책을 강구해야만 했다. 최태원 회장의 공식 사과 역시 한참 늦은 5월 7일에야 이뤄졌다.

SKT는 유심 교체와 유심보호서비스 가입에 있어서도 책임을 회피하는 모습을 보였다. 사태 초기부터 물리적으로 유심을 교체하는 것이 보다 안전한 조치라는 지적이 제기되었음에도, SKT는 유심보호서비스 가입을 위주로 독려했다. 이에 ‘비용 부담 때문에 유심을 무상 교체하지 않는 것이냐’라는 비판이 커지자, SKT는 4월 25일에야 모든 고객의 유심을 무상으로 교체하기로 결정했다. SKT는 4월 27일 “유심보호서비스 가입 후 피해 발생 시 100% 보상하겠다”고 밝혔는데, 이는 유심보호서비스에 가입하지 않은 고객은 보상에서 제외하겠다는 것과 다름없는 것으로 자사의 책임을 고객에게 떠넘기는 셈이다.

SKT의 정보보호 투자비는 2022년 626억5710만원으로, 2024년에는 정보보호 투자비를 4.4% 줄인 것으로 나타났다. 심지어 SKT는 이동통신 3사 중 유일하게 유심 정보를 암호화 없이 평문으로 저장해 온 것으로 드러났다. 즉 이번 대규모 해킹 사태의 근본적인 원인은 SKT의 안일한 정보보호 조치에 있다. <이미지=이미지투데이>

그러나 당시에는 유심보호서비스에 가입하려는 이용자들이 몰리면서 서비스가 먹통이 되었고, 가입하고 싶어도 가입하기가 어려운 상황이 지속되고 있었다. 이러한 비판이 이어지자 SKT는 5월 5일에서야 모든 고객이 유심보호서비스에 자동 가입하도록 바꿔 5월 7일에 완료했다. 왜 처음부터 모든 고객을 유심보호서비스에 자동 가입하도록 조치하지 않았는지 의문이 드는 처사다.

SKT의 소극적인 대응으로 인해 고객들은 더욱 큰 난관에 봉착했다. SKT 가입자들은 어떤 정보가 유출되었는지 파악하는 데 어려움을 겪었고, 어떤 조치를 취해야 하는지도 뒤늦게 통지 받았다. 이용자들은 뉴스와 SNS를 통해 스스로 해결책을 찾아 나서야 했다. 이용자들이 명의도용 방지 서비스에 가입한 것 역시 ‘본인 명의로 추가 회선이나 다른 통신사에 가입하는 일이 없도록 막아야 한다’라는 판단에서 자발적으로 시작된 것이다. 그러나 신청자가 몰리면서 명의도용 방지 서비스에 가입하는 것도, 유심보호서비스에 가입하는 것도 쉽지 않았다. 이용자들은 ‘엠세이퍼에서 가입 사실 현황조회 서비스를 이용해 본인이 쓰는 회선만 조회되는지 확인하라’는 팁을 공유하기도 했으나, 이마저도 이용자가 몰리면서 서비스가 먹통이 되었다.

오프라인에서도 북새통은 이어졌다. 고객들은 유심 부족 사태로 이른 아침부터 대리점 오픈런을 하기도 했고, 번호표를 뽑고 줄지어 서서 기다려야 했다. 이후 SKT에서 고객이 기약 없이 대기하는 사태를 막고자 온라인 예약 시스템을 열었지만, 이 역시 신청자가 몰리면서 접속 장애를 겪었다. 온라인 예약 시스템을 이용해 유심 변경을 진행할 매장을 선택했더니, 폐업한 대리점이 신청 리스트에 있는 경우도 발생했다. 이 때문에 일부 고객들이 헛걸음을 하는 일까지 벌어졌다. 중기이코노미 안수영 기자