2024~2025년 사이, 전 세계 주요 통신사들이 해킹 공격에 노출되면서 수억 명에 달하는 고객의 개인정보가 유출되는 사태가 연이어 발생하고 있습니다. 통신사는 국가 핵심 인프라로서 전화, 문자, 본인인증, 위치 기반 서비스 등 수많은 민간·공공 서비스의 기반이 되며, 한 번의 해킹으로도 대규모 2차 피해가 이어질 수 있습니다. 최근에는 클라우드 시스템, 고객센터 인프라, 그리고 유심(USIM) 정보를 노린 공격까지 범위가 확장되고 있습니다. 이 글에서는 2025년 4월 발생한 SKT 유심 해킹 피해를 포함해, 세계 주요 통신사들의 해킹 사례와 각국 대응 전략을 비교 정리합니다.
1. 2024~2025 통신사 해킹 피해 사례 정리
① 미국 – T-Mobile 해킹 (2024.11)
T-Mobile은 제삼자 협력사의 API 취약점을 통한 침입으로, 약 3,200만 명의 고객정보가 유출됐습니다. 피해 정보에는 이름, 생년월일, 이메일, 위치정보 일부가 포함됐으며, 유출 데이터는 다크웹에 암호화 없이 유통됐습니다.
② 호주 – Optus 대규모 유출 (2024.6)
Optus는 인증 서버에 해커가 침입해, 980만 명의 고객정보(운전면허, 여권, 주소 등)가 유출되는 사상 최악의 사고를 겪었습니다. 사건 이후 수천 건의 명의도용과 금융 범죄가 발생하였습니다.
③ 영국 – Vodafone 내부 유출 (2025.2)
Vodafone은 계약직 직원이 고객 통화기록에 무단 접근해 120만 명 규모의 데이터 유출 사고가 발생했습니다. GDPR에 따라 고액 과징금 부과가 논의 중이며, 내부 접근권한 시스템 전면 개편을 발표했습니다.
④ 한국 – KT 해킹 시도 차단 (2025.1)
KT는 해외 IP를 통해 시도된 SMS 서버 공격을 탐지 시스템으로 사전 차단했으며, 피해는 발생하지 않았습니다. 이는 예방 중심의 보안체계가 실제 효과를 보인 사례로 주목받았습니다.
⑤ 한국 – SKT 고객센터 해킹 (2025.4)
SK텔레콤은 고객상담 시스템의 외부 계정 침입으로 약 87만 건의 상담 기록과 음성 파일이 유출된 사고를 인정했습니다. 유출된 파일에는 고객명, 주소, 청구 정보 등 민감정보가 포함되어 있었으며, 피해자에겐 2년간 신원보호 서비스가 제공되었습니다.
⑥ 한국 – SKT 유심 복제 해킹 피해 (2025.4 추가)
2025년 4월, SKT 일부 고객은 본인도 모르게 휴대전화가 갑자기 ‘서비스 불가’ 상태로 전환되고, 이후 자신 명의의 금융계좌에서 원격 이체가 시도되는 피해를 신고했습니다. 조사 결과, 해커가 피해자의 개인정보를 이용해 SKT 고객센터를 사칭하여 ‘유심 재발급 요청’을 하고, 복제 유심을 통해 본인인증 및 금융서비스 접근을 시도한 것으로 확인되었습니다.
피해자 다수는 네이버·카카오페이, 은행 인증 앱에 연동된 전화번호를 통해 2단계 인증을 우회당했고, 일부는 실제 자금이 이체되거나 해킹 시도로 인해 서비스가 정지되었습니다. SKT는 유심 재발급 절차에 대한 보안 강화를 약속했으며, 피해 발생 고객에 대해 개별 보상 및 보안 서비스 무상 제공을 실시 중입니다. 전문가들은 "유심 자체가 해킹당한 것은 아니지만, 고객센터를 통한 '사회공학적 침입'의 사례"라고 경고하고 있습니다.
2. 피해유형·해킹 경로 비교: 무엇이 노출됐는가?
통신사 해킹은 API 취약점, 내부자 접근, 인증 우회, 콜센터 침입 등 다양한 경로로 발생하며, 피해 양상도 각각 다릅니다. T-Mobile과 Optus는 기술적 침입이었고, Vodafone은 내부자 유출, KT는 시도 차단, SKT는 고객센터 계정 침입과 유심 재발급 악용 피해로 특징적입니다.
특히 SKT 유심 해킹은 실제 기기보다는 ‘통신사 절차’를 이용한 공격으로, 사회공학적 해킹(social engineering)의 대표 사례입니다. 유심을 복제하면 문자, 전화, 인증번호 수신까지 통제할 수 있어, 계정 탈취·금융사기·보이스피싱에 모두 악용될 수 있습니다. 단순한 데이터 유출보다 실제 피해로 이어지기 쉽다는 점에서 훨씬 위험한 유형입니다.
3. 각국 및 통신사 대응 전략 비교
미국은 사고 발생 시 72시간 내 신고 의무가 있으며, T-Mobile은 이후 사이버 보안 인력 2배 증원과 고객 보호 서비스 확대를 발표했습니다. 호주는 Optus 이후 통신사 보안 의무감시제를 도입했고, 정부가 직접 침입 테스트를 주도하고 있습니다. 영국은 GDPR에 따라 강력한 과징금과 규제 검토가 진행 중입니다.
한국의 KT는 사전 대응으로 모범 사례가 되었고, SKT는 4월 해킹 사고 이후 고객센터 보안 절차 전면 재정비, 유심 재발급 시 AI 인증 추가, 생체정보 인증 단계 추가를 준비 중입니다. 또한 통신 3사는 공동으로 ‘이중 인증 일원화 가이드라인’을 수립 중이며, 고객센터 음성인증 시스템 강화도 병행되고 있습니다.
결론: 유심 해킹은 '통신 절차 해킹'... 보안 개념 재정의 필요
SKT 유심 해킹 사례는 더 이상 해킹이 단지 서버나 장비 침입이 아닌, 고객센터, 재발급 절차, 내부 상담 시스템 등 사람이 개입된 과정을 노린 정교한 공격으로 발전했음을 보여줍니다. 이것은 기술 이전에 절차와 규정, 내부 훈련과 검증 시스템의 문제이기도 합니다.
통신 보안은 네트워크 보안에서 ‘운영보안’으로 중심이 이동하고 있으며, 향후에는 고객센터, 오프라인 지점, 온라인 상담봇까지 모두 보안 체계에 포함시켜야 합니다. 일반 사용자 역시 유심 재발급 알림 설정, 금융앱에 대한 알림 이중화, 휴대폰 분실 시 즉시 통신사 계정 잠금 요청 등 적극적인 보안 습관을 갖추는 것이 필요합니다.