SK텔레콤 IMSI, IMEI 유출

 

최근 SK텔레콤 이용자들 사이에서 불안감이 커지고 있습니다.
IMSI(가입자식별키)에 이어 IMEI(단말기 고유식별번호)까지 유출됐을 가능성이 제기됐기 때문인데요.
과학기술정보통신부와 민관합동조사단의 조사 결과를 통해 이번 사건의 전말을 정리해보았습니다.

 

 

 

 

IMEI도 유출됐을 가능성…조사단 발표

 

2025년 5월 19일, SK텔레콤 유심정보 유출과 관련한 **2차 조사 결과**가 발표되었습니다.
조사단은 기존에 유출 사실이 없다고 발표했던 **IMEI 정보**가, 악성코드에 감염된 서버의 **임시 파일 내 일부 포함되어 있었던 것**을 확인했습니다.
IMEI는 스마트폰 단말기의 고유번호로, 보안상 민감한 정보입니다.

어떤 정보가 유출됐나?

 

조사에 따르면 아래와 같은 정보가 유출 가능성이 있는 것으로 확인되었습니다:

 

• IMSI(가입자식별키): 총 2,695만7749건
• IMEI(단말기 고유식별번호): 약 29만1831건
• 이름, 생년월일, 전화번호, 이메일 등 개인정보

 

이는 고객 인증을 위한 서버의 임시 저장 파일 내에서 발견되었으며, 주로 **2022년 6월부터 2023년 12월 2일 사이**의 로그 데이터에 대한 확인이 어렵다고 밝혔습니다.

 

 

조사 방식과 서버 점검 결과

 

SK텔레콤은 리눅스 서버 3만여 대를 보유 중이며, 총 4차례에 걸쳐 점검이 진행되었습니다.
초기 점검은 SKT가 직접 수행하고, 이후에는 조사단이 직접 참여해 포렌식 분석까지 병행했습니다.
악성코드는 1차 발표 당시 4종이었으나, 이번에는 웹셸 포함 25종으로 늘어났고, 감염 서버도 5대에서 23대로 확대되었습니다.

폰 복제 가능성은?

 

일각에서는 **‘심스와핑(SIM Swapping)’**이나 **복제폰 생성** 가능성을 우려하고 있습니다.
하지만 과기정통부는 "IMEI 정보만으로는 물리적인 단말기 복제가 불가능하다"고 강조했습니다.
제조사의 인증키가 없으면 단말 복제는 불가능하며, 현재까지 실제 피해 사례는 보고되지 않았다고 밝혔습니다.

법적 책임과 조치 사항

 

현행 개인정보보호법에 따르면, 기간통신사업자는 시스템 접속 기록을 **최소 2년 이상 보관**해야 합니다.
그러나 이번 사고에서 **로그 기록이 반년도 채 되지 않아** 논란이 되고 있으며, 사업자 측은 해당 서버가 임시 저장 목적이었기에 적용 대상이 아니라고 해명했습니다.
개인정보보호위원회에도 이번 사실이 통보되었으며, **정밀 조사와 서버 자료 공유가 진행 중**입니다.

종합 요약: SKT 유심·IMEI 유출 이슈

항목	내용
사건 발생 시점	최초 감염 추정: 2022년 6월
유출 정보	IMSI, IMEI, 이름, 생년월일, 이메일 등
IMSI 유출 규모	2,695만7749건
IMEI 유출 확인량	29만1831건 (임시 저장 서버)
법적 문제	로그 보관 미흡, 법 위반 가능성 제기
당국 입장	폰 복제는 기술적으로 불가능하므로 과도한 우려는 금물

맺음말

 

이번 SK텔레콤 유출 사건은 단순 해킹 이슈를 넘어, **개인정보 관리 체계와 법적 책임**에 대한 중요한 문제를 던지고 있습니다.
당국은 피해 확산을 막기 위한 기술적 조치와 함께, **정보보호 시스템 점검 강화**를 예고했습니다.
이용자 입장에서는 향후 발표되는 공식 공지와 관련 기관의 조치 상황을 꾸준히 확인하는 것이 중요합니다.