SK텔레콤 유심 해킹 사태

SK텔레콤 네트워크인프라센터가 4월 18일 오후 6시 9분 내부 시스템에서 트래픽 이상 징후를 최초로 감지했다. 다음 날 새벽부터 본격적인 분석에 들어가 가입자 인증 서버(HSS)에 악성코드가 심어져 유심 정보가 빠져나간 정황을 확인했다. SKT는 20일 오후에야 한국인터넷진흥원에 침해사고를 신고해 '24시간 내 신고' 규정을 어긴 늑장 신고 논란이 뒤따랐다. 유출된 정보에는 이동가입자식별번호(IMSI)와 유심 인증키 등 복제 위험과 직결되는 핵심 값이 포함돼 있었다. 통신 3사 중 최대 가입자를 보유한 1위 사업자의 핵심 인증 인프라가 뚫렸다는 점에서 파장은 예고된 것이었다.

민관합동조사단의 조사 결과 유출된 유심 정보는 9.82GB, 가입자 식별키(IMSI) 기준 2,695만 7,749건에 달했고 일부 개인정보 파일도 확인됐다. 조사 과정에서 악성코드가 장기간 내부에 잠복해 있었던 정황이 드러나 SKT의 보안 관리 부실 책임이 무겁게 지적됐다. SK텔레콤은 7월 4일 최종 조사 결과 발표에 맞춰 그간 거부해 온 해지 위약금 면제를 결정하고 고객 보상 패키지를 내놨다. 이 사태는 이후 KT, LG유플러스로 이어진 통신업계 연쇄 해킹 논란의 서막이 되며 통신 인프라 보안 전반에 대한 제도 개선 논의를 촉발했다. 개인정보보호위원회의 과징금 처분 등 후속 제재 절차도 뒤따랐다.

SK텔레콤이 4월 22일 유심 정보 유출 사실을 공식 발표하고 대국민 사과문을 냈다. 회사는 전 가입자를 대상으로 유심보호서비스 가입을 권고하고 무상 유심 교체 방침을 밝혔다. 그러나 유출 규모와 항목에 대한 초기 설명이 불충분해 '무엇이 얼마나 빠져나갔는지 모른다'는 불안이 오히려 커졌다. 유심 복제를 통한 금융 피해 우려가 확산되면서 은행과 증권사들도 비상 대응에 들어갔다. 발표 직후부터 대리점마다 유심 교체를 요구하는 가입자들이 몰리기 시작했다.

유심 해킹 사태 발생 약 1년을 맞아 피해자들이 SK텔레콤을 상대로 제기한 손해배상 청구 소송이 본격적인 법정 공방에 들어갔다. 서울중앙지법 민사합의30부는 3월 26일 김모씨 등 9165명이 낸 손배소의 첫 변론기일을 열었다. 전체 원고는 각각 9166명·5275명·1459명이 참여한 3건의 소송이 병합돼 약 1만5900명에 이르며, 총 소가는 45억여원에 달한다. 원고들은 1인당 50만원의 위자료 지급과 유심 비밀키(K) 유출 여부 등 정보 유출 범위 공개, 2차 피해 방지 대책 마련을 요구했다. 첫 변론에서는 원고 적격과 집단소송 위임 의사의 진정성이 핵심 쟁점으로 다뤄졌다.

4월 28일부터 전국 T월드 매장과 공항 로밍센터에서 전체 가입자를 대상으로 한 유심 무상 교체가 시작됐다. 그러나 하루 교체 가능 물량을 훨씬 넘는 수요가 몰리면서 매장마다 긴 줄이 늘어섰고 유심 재고가 조기에 소진되는 대란이 벌어졌다. 회사는 온라인 예약 시스템을 급히 도입했지만 예약 대기만 수백만 명에 달했다. 해외 출국을 앞둔 이용자와 고령층 등 디지털 취약계층의 불편이 특히 컸다. 유심 물량 확보와 eSIM 전환 확대 등 대응책이 뒤따랐지만 초기 혼란은 몇 주간 이어졌다.

대규모 손배소와 별개로 피해자 50여명이 4월 13일 SK텔레콤을 상대로 별도의 집단소송에 돌입하며 법적 공방이 한층 확산됐다. 이들 역시 개인정보 유출에 따른 정신적 손해를 이유로 위자료 지급과 회사의 책임 인정, 재발 방지 대책 마련을 요구했다. 유심 해킹은 2025년 4월 가입자 식별키 기준 2695만여 건이 유출된 국내 최대 규모의 개인정보 침해 사건으로, 정부의 위약금 면제 결정으로 일단락된 뒤에도 손해배상 책임을 둘러싼 민사 분쟁은 계속되고 있다. 재판부는 유출 사고 시점과 손해 인지 시점, 손해의 성격이 정신적 손해인지 재산상 손해인지 등을 구체적으로 따질 예정이다. 통신사의 정보보호 의무 위반에 대한 사법적 판단이 향후 유사 사건의 배상 기준을 좌우할 전망이다.

국회 과학기술정보방송통신위원회가 4월 30일 청문회를 열어 유영상 SK텔레콤 대표를 증인으로 세웠다. 청문회에서는 늑장 신고 경위와 유심 교체 지연, 해지 위약금 면제 여부가 핵심 쟁점으로 다뤄졌다. 유 대표는 위약금을 면제하면 한 달에 최대 500만 명이 이탈해 3년 치 매출 기준 7조 원 이상의 손실이 예상된다며 난색을 표해 여론의 비판을 받았다. 그 사이 타 통신사로의 번호이동이 급증하며 가입자 이탈이 현실화됐다. 정부는 민관합동조사단을 꾸려 침해 경위와 유출 규모에 대한 정밀 조사에 들어갔다.

유출 1년 즈음 본격화한 손해배상 소송은 봄을 지나며 원고 규모를 빠르게 키웠다. 2026년 5월 16일 한 법률사무소는 1차 공동소송 참여자 9175명을 대리해 1인당 50만원의 위자료를 청구하는 소장을 제출했고, 공동소송 전체 청구액은 약 46억원에 달했다. 5월 22일에는 또 다른 법무법인이 SKT 이용자 1000여명을 대리해 1인당 100만원의 위자료를 청구하는 2차 소송에 나섰고, 6월 13일에는 이용자 331명이 별도의 손해배상 소송을 추가로 제기했다. 여러 로펌이 잇달아 참가 신청을 받으면서 SK텔레콤을 상대로 한 유심 해킹 손배소는 앞서 병합된 약 1만5900명 규모를 넘어 계속 확대됐다. 원고들은 개인정보 유출에 따른 정신적 손해를 이유로 위자료와 함께 유출 정보 범위 공개, 재발 방지 대책 마련을 한목소리로 요구했다.

서울중앙지법 민사합의30부는 3월 26일 첫 변론에 이어 병합된 유심 해킹 손해배상 소송의 2차 변론기일을 2026년 7월 9일로 지정해 심리를 이어갔다. 재판부는 첫 변론에서 원고들의 본인 확인과 실제 손해 입증, 관련 자료 제출을 양측에 지시하며 이날을 다음 기일로 잡은 바 있다. SK텔레콤 측은 온라인 참가 신청 방식으로는 실제 이용자 여부와 소송 위임 의사를 확인하기 어렵다며 원고 적격을 계속 다퉜고, 원고 측은 신분증 제출과 인적사항 입력으로 본인 확인을 마쳤다고 맞섰다. 유심 비밀키(K) 유출 여부와 유출 정보의 구체적 범위, 정신적 손해의 성립 여부가 여전히 핵심 쟁점으로 남았다. 2695만여 건이 유출된 국내 최대 규모 개인정보 침해 사건의 배상 책임을 가를 재판이 본격적인 입증 단계로 넘어갔다.