SK텔레콤핵심 서버에 BPFDoor 잠복, 유심 정보 유출
쉽게 말하면 통신사 서버가 뚫려 가입자 거의 전원의 유심 정보가 빠져나갔습니다.
가입자 인증에 쓰이는 유심 정보가 BPFDoor 계열 악성코드를 통해 빠져나갔습니다. 가입자 전원에 해당하는 규모로 보도됐고, 이 사고 이후 통신 3사가 차례로 침해 의혹에 올랐습니다.
규모 약 2,324만 명현황 개인정보위 과징금 1,347억 원 확정, 회사는 2026년 1월 취소 소송 제기
배후 조직은 공식적으로 확정되지 않았습니다.
내가 해당되는지 확인하기
SK텔레콤 가입자
- SK텔레콤 공식 앱·홈페이지의 안내와 개별 안내를 확인하세요.
해당되거나 불안하다면
- 엠세이퍼 msafer.or.kr 또는 이동통신사 지점내 이름으로 가입된 통신서비스를 조회하고, 새 휴대폰 개통을 미리 막습니다. 새 폰을 직접 개통할 때는 제한을 풀어야 합니다.
- 피해가 의심되면 경찰 112, 금융사 콜센터, KISA 118이미 돈이 빠져나갔거나 악성 앱이 의심되면 경찰이나 금융사 콜센터에 즉시 지급정지를 요청하세요.
확인된 사실
- 유출 정보
- 전화번호, 가입자 식별번호(IMSI) 등 유심 정보 25종, 9.82GB. 단말기 고유식별번호(IMEI) 유출은 없었다고 확인
- 공격 범위
- 전체 서버 4만 2,605대 중 28대가 공격받았고, 악성코드 33종(BPFDoor 27종 포함) 확인
- 잠복 기간
- 악성코드 최초 설치 시점이 2022년 6월로 알려져 약 3년간 인지하지 못한 셈이라는 보도
- 과징금
- 1,347억 9,100만 원(2025년 8월 의결, 개인정보위 출범 후 당시 최대)
경과
- 언론 보도로 해킹 사실이 알려짐
- 전국 매장에서 유심 무료 교체 시작. 유심 보호 서비스 가입 권고
- 민관합동조사단이 침투에 쓰인 BPFDoor 계열 악성코드 4종 발견 발표. 유심 보호 서비스 가입자 1,000만 명 돌파(알뜰폰 40만 명 포함)공식 조치
- 최태원 SK그룹 회장 기자회견
- 조사단 최종 결과 발표. 정부는 SK텔레콤 과실이 있어 위약금 면제가 가능하다고 판단공식 조치
- 개인정보위가 과징금 1,347억 9,100만 원 의결. 같은 시기 통신분쟁조정위는 위약금 면제를 연말까지 연장하라는 직권조정 결정공식 조치
- 의결서가 공식 송달되어 처분 확정(11월 10일 보도)공식 조치
- SK텔레콤이 서울행정법원에 과징금 취소 소송 제기. 2026년 9월부터 본격 공방 예상공식 조치
원인으로 지목된 것
- 2016년에 보안 경보와 패치가 나온 리눅스 취약점(DirtyCow)이 있는 OS를 설치해 두고 2025년 4월 사고 때까지 업데이트하지 않았다는 개인정보위 판단
- 조사단은 계정정보 관리 부실, 과거 침해사고 대응 미흡, 주요 정보 암호화 미흡을 원인으로 꼽음
- 협력업체가 공급한 소프트웨어를 면밀히 점검하지 않고 내부 서버 88대에 설치해 악성코드가 유입됨(다만 해당 악성코드가 실행된 흔적은 없음)
- 연 1회 서버 점검 항목에 쉽게 탐지되는 웹셸조차 빠져 있었음
- 중국 해커조직 ‘레드 멘셴’ 연루 가능성이 제기됐으나, 확정된 배후는 아님
대응과 조치
- 유심 무료 교체와 유심 보호 서비스 확대, 신규 영업 일시 중단
- 향후 5년간 보안 부문에 7,000억 원 투자 발표
- 재발방지 권고: 계정 비밀번호 관리 강화, 주요 정보 암호화, 정보보호 거버넌스를 CEO 직속으로, 인력·예산 확대
점검해 볼 지점 (편집 의견)
- 9년 전 공개된 취약점이 그대로 남아 있었다는 점은 자산 인벤토리와 패치 관리가 핵심 통제라는 사실을 보여줍니다.
- 협력사가 납품한 소프트웨어를 설치 전에 검증하는 절차가 있는지 확인할 필요가 있습니다.
- 평시 점검 항목에 웹셸처럼 흔한 침투 흔적이 들어 있는지, 3년을 버틴 잠복을 찾아낼 위협 헌팅이 있는지 점검해 볼 만합니다.
관련 ISMS-P 인증기준 (편집 의견)
위탁·협력사·솔루션 경유2.3.1 외부자 현황 관리2.3.2 외부자 계약 시 보안2.3.3 외부자 보안 이행 관리3.3.2 개인정보 처리 업무 위탁
계정·인증 약점2.5.1 사용자 계정 관리2.5.3 사용자 인증2.5.4 비밀번호 관리
공개된 원인에서 이어 본 것으로, 해당 기업의 인증 심사 결과가 아닙니다.
용어: BPFDoor웹셸공급망·수탁사 공격유심 탈취·복제
출처
- 노컷뉴스: 조사단 최종 결과 발표(2025-07-04)nocutnews.co.kr
- 디지털데일리: 위약금 면제 가능 판단과 조사 결과ddaily.co.kr
- 전북일보: 역대 최대 과징금 1,348억 원jjan.kr
- 파이낸셜뉴스: 과징금 불복 소송 전망fnnews.com
- 파이낸셜뉴스: 과징금 처분 확정fnnews.com
- 딜사이트: 서울행정법원 취소 소송dealsite.co.kr
- 이데일리(다음): 레드 멘셴 연루 가능성v.daum.net
- 디지털데일리: 악성코드 최초 설치 2022년 6월ddaily.co.kr