2025 SKT 유심 해킹 사건 정리 — IMSI·ICCID 유출과 SIM Cloning 위험
SKT LTE/5G 인증 서버 해킹으로 수백만 가입자의 IMSI/ICCID가 유출됐다. 사고 전개와 기술적 맥락, 개발자가 짚어야 할 보안 교훈을 정리한다.
ㅂㄹㄱ
2025-05-11 ·
들어가며
2025년 4월 18일, SK텔레콤 전산망이 해킹당했다. 유출된 건 가입자 유심 정보. 전화번호, IMSI(가입자 식별번호), 유심 일련번호 같은 핵심 식별 정보가 통째로 빠져나갔다.
개발자로 일하다 보면 "우리 시스템은 안전한가?"라는 질문을 주기적으로 받는다. 대부분은 "SSL 인증서 붙었으니 괜찮지 않나요?" 수준에서 끝나는데, 이번 사건은 그런 안일함이 어떤 결과로 이어지는지 보여줬다. 국내 1위 통신사조차 해킹에 뚫렸다.
사고의 전개, 기술적 맥락, 그리고 앞으로의 과제를 정리한다.
무슨 일이 있었나
SKT의 LTE/5G 음성통화 인증용 서버가 해킹당했다. SKT 가입자라면 누구나 피해 대상이 될 수 있는 구조였다. 피해 규모는 수백만 명으로 추정됐다.
유출된 정보를 정리하면 이렇다.
| 유출 항목 | 설명 | 위험도 |
|---|---|---|
| 전화번호 | 가입자 식별 | 높음 |
| IMSI | 가입자 고유 식별번호 | 매우 높음 |
| ICCID | 유심 일련번호 | 매우 높음 |
| IMEI | 단말기 고유번호 | 유출 안 됨 |
IMEI가 유출되지 않은 건 그나마 다행이었지만, IMSI와 ICCID만으로도 유심 복제가 가능하다. 유심을 복제하면 그 번호로 걸려오는 전화, 문자, 인증 코드를 전부 가로챌 수 있다.
SIM Cloning과 SIM Swapping — 뭐가 다른가
이번 사고와 관련해서 "심스와핑" 용어가 많이 쓰였는데, 정확히 구분하면 이렇다.
| 공격 유형 | 방식 | 이번 사고와의 관계 |
|---|---|---|
| SIM Cloning (유심 복제) | 유출된 IMSI/ICCID로 유심을 물리적으로 복제 | 직접적 — 유출된 정보가 바로 복제 재료 |
| SIM Swapping (번호 탈취) | 통신사 고객센터를 사칭·속여 번호를 다른 유심으로 이전 | 간접적 — 유출 정보가 사칭 시 신빙성을 높여줌 |
한국 미디어에서 두 용어를 혼용하는 경향이 있지만, 이번 사고의 1차 위험은 SIM Cloning 쪽이다. IMSI와 ICCID가 유출됐으니 고객센터를 속일 필요도 없이 유심 자체를 복제할 수 있다.
유심 복제가 왜 무서운가
개발자라면 OTP나 SMS 인증을 구현해본 적이 있을 거다. 회원가입 시 "인증번호 6자리를 입력하세요" — 이 흐름의 전제는 그 전화번호의 주인만 문자를 받을 수 있다는 것이다.
유심 복제는 그 전제를 무너뜨린다.
| 단계 | 공격자 행동 |
|---|---|
| 1 | 유출된 IMSI/ICCID로 유심 복제 |
| 2 | 복제 유심을 공기계에 장착 |
| 3 | 피해자 번호로 오는 SMS/전화를 수신 |
| 4 | 은행, 메신저, 이메일의 SMS 인증 통과 |
| 5 | 계좌 이체, 메신저 피싱, 인증서 탈취 |
실제로 이번 사고 이후 계좌가 털리거나, 가족에게 사기 메시지가 발송되는 2차 피해가 속출했다. SMS 기반 인증의 근본적 한계가 드러난 셈이다.
SKT의 대처 — 너무 느리고 너무 부족했다
사고 발생 후 SKT가 내놓은 대책은 이랬다.
- 유심 보호 서비스(유심-단말기 묶음) 무상 제공
- 유심 무료 교체
- 피해자 전용 콜센터 운영
문제는 실행이었다.
유심 물량이 턱없이 부족했다. 전국 대리점에 '오픈런' 사태가 벌어졌고, 고객센터는 항의 전화로 마비됐다. 기존에 유심 보호 서비스에 가입된 사람은 전체 가입자의 30%도 안 됐다. 나머지 70%는 무방비 상태로 방치된 거다.
더 큰 문제는 정보 공개였다. 사고 발생 2주가 지나도록 해킹 경로, 정확한 피해 규모, 유출 정보의 범위를 제대로 밝히지 못했다. "조사 중입니다"만 반복했다.
파장: 금융권까지 흔들렸다
SKT 해킹의 여파는 통신 업계를 넘어 금융권까지 번졌다.
| 영역 | 영향 |
|---|---|
| 은행 | SKT 번호 기반 OTP·인증서 발급 일시 중단 |
| 금융앱 | 추가 본인확인 절차 도입 |
| 공공기관 | 필수 서비스 이용 차질 |
| 주가 | SKT 주가 단기 하락 |
| 소송 | 집단소송 준비, 시민단체 동참 |
은행들이 SKT 인증을 일시 중단한 건 상당히 이례적이다. "통신사 인증 = 안전"이라는 암묵적 합의가 깨진 순간이었다.
개발자로서 생각해볼 것
이 사건에서 개발자로서 몇 가지를 짚어본다.
SMS 인증에 의존하지 마라. SMS는 편리하지만 보안 채널이 아니다. TOTP(Time-based One-Time Password)나 WebAuthn(FIDO2) 같은 대안이 있다. 특히 금융, 의료 등 민감한 서비스라면 SMS 인증을 주력으로 쓰는 건 재고해야 한다.
보안은 비용이 아니라 인프라다. SKT 규모의 회사도 인증 서버 보안에 구멍이 있었다. "해킹당하면 그때 대응하지"가 아니라, 침입을 전제로 시스템을 설계해야 한다. Zero Trust 아키텍처가 괜히 나온 게 아니다.
사고 대응 체계가 기술보다 중요할 수 있다. 해킹 자체보다 SKT의 늑장 대응과 불투명한 정보 공개가 더 큰 분노를 샀다. 서비스를 운영한다면 사고 발생 시 어떻게 소통할 것인지 미리 정해둬야 한다.
앞으로 바뀔 것들
이 사건을 계기로 몇 가지 변화가 예상된다.
- 유심 보호 서비스 기본 제공: 선택이 아니라 통신사 기본값이 될 가능성이 높다.
- eSIM 보안 재검토: eSIM은 물리적 복제는 막지만, 소프트웨어 기반 공격 벡터가 다르다. 보안 아키텍처 전면 재검토가 필요하다.
- 징벌적 손해배상: 국회에서 개인정보 유출 시 실질적 책임을 묻는 제도 논의가 본격화되고 있다.
- 보안 규제 강화: 통신사·금융권 보안 실태 전수조사, 보안 인증제 도입 등이 추진될 전망이다.
정리
| 항목 | 내용 |
|---|---|
| 사고일 | 2025년 4월 18일 |
| 대상 | SKT LTE/5G 가입자 전체 (수백만 명) |
| 유출 정보 | 전화번호, IMSI, ICCID |
| 핵심 위험 | SIM Cloning(유심 복제)을 통한 2차 피해 |
| SKT 대응 | 유심 교체·보호 서비스 제공, 물량 부족으로 실효성 미흡 |
| 교훈 | SMS 인증의 한계, 사고 대응 체계의 중요성 |
대기업도 해킹에 무방비할 수 있다. 이건 "SKT가 못나서"가 아니라, 보안에 대한 투자와 인식이 구조적으로 부족했다는 뜻이다. 개발자든 사용자든, "나는 괜찮겠지"라는 생각이 가장 위험하다.