SK텔레콤 유심 유출 과징금 1348억, 취소소송으로 넘어간 이유

글 · 오늘체크 편집부 · 최종 확인 2026.09.17 · 검증 방식

2025년 4월 18일 인지부터 2026년 소송전까지 무슨 일이 있었나

SK텔레콤은 2025년 4월 19일 오후 11시경 악성코드로 유심 관련 정보가 유출된 의심 정황을 발견했다고 공지했다.^[4] 그런데 과기정통부 조사 결과로는 실제 침해사고 인지 시점이 하루 앞선 4월 18일 23시 20분으로 확인됐고 신고는 4월 20일 16시 46분에 이뤄져 24시간 이내 신고 의무를 넘겼다.^[2] 공격은 훨씬 오래전부터 진행되고 있었다. 조사단은 공격자가 2021년 8월 6일 시스템 관리망 서버에 침투해 원격제어 악성코드를 심었고 그해 12월 24일에는 평문으로 저장돼 있던 계정정보를 이용해 음성통화인증(HSS) 관리서버에 접근했다고 밝혔다.^[2]

유출 통지 과정도 매끄럽지 않았다. 개인정보위는 SK텔레콤이 유출 사실을 인지하고도 법정 기한인 72시간 안에 이용자에게 알리지 않았다고 판단해 5월 2일 긴급 통지를 의결했지만 SK텔레콤은 5월 9일에야 유출 “가능성”을 통지하고 7월 28일에서야 유출 “확정” 통지를 했다.^[1]

유출 인원 2,324만 명과 인증키 유출 건수 2,614만 건은 다른 숫자다

보도마다 유출 규모가 다르게 보이는 이유는 두 숫자를 혼용하기 때문이다. 개인정보위가 확인한 유출 이용자는 LTE·5G 서비스 전체 이용자(알뜰폰 포함, 중복 제거) 23,244,649명이며 이들에게서 휴대전화번호·가입자식별번호(IMSI)·유심 인증키 등 25종의 정보가 빠져나갔다.^[1] 반면 유심 인증키(Ki)만 놓고 보면 암호화되지 않은 채 HSS DB 등에 평문으로 저장돼 있던 건수가 26,144,363건으로, 이용자 수보다 많다.^[1] 전체 인원 수치와 특정 정보 항목의 건수 수치를 구분하지 않고 인용하면 “2,324만 명”과 “2,614만 건”이 서로 다른 사고처럼 읽히게 된다.

평문 저장된 인증키와 미비했던 이상행위 탐지가 유출 원인이다

개인정보위는 SK텔레콤이 가입자 인증에 쓰이는 유심 인증키(Ki)를 암호화하지 않고 그대로 저장해 해커가 유심 복제에 쓰일 수 있는 정보를 원본 그대로 확보하게 만들었다고 지적했다.^[1] 침입탐지 시스템의 이상행위 로그조차 확인하지 않았고 2022년 2월 해커가 HSS 서버에 접속한 사실을 인지하고도 비정상 통신 여부나 추가 악성코드 설치 여부를 점검하지 않아 사고를 막을 기회를 놓쳤다는 것이 개인정보위의 결론이다.^[1] 개인정보 보호책임자(CPO)의 역할도 Tworld 등 IT 영역에만 한정돼 있어 통신 인프라 영역의 개인정보 처리를 총괄하지 못한 구조적 문제도 지적됐다.^[1]

과기정통부 조사에서는 SK텔레콤의 자료 제출 방식에도 문제가 있었던 것으로 드러났다. 자료보전 명령을 받은 뒤 서버 2대를 포렌식 분석이 불가능한 상태로 임의 조치해 제출한 사실이 확인됐다.^[2] 또 연 1회 이상 하는 자체 보안점검에 쉽게 탐지 가능한 웹쉘 항목이 빠져 있어 2022년 감염 서버를 놓쳤고 조사단은 전체 서버 4만 2,605대를 대상으로 4월 23일부터 6월 27일까지 총 6차례 악성코드 감염 여부를 조사했다.^[2]

과징금 1,347억 9,100만 원, KT의 540억 원과 무엇이 달랐나

개인정보위는 이동통신 서비스 관련 매출액을 기준으로 위반의 중대성에 따라 과징금 비율을 정하는데 SK텔레콤은 사실상 최대 한도인 관련 매출액 대비 최대 3% 범위 안에서 과징금이 결정됐다.^[7] 2026년 7월 30일 발표된 KT의 개인정보 유출 사고 과징금은 540억 원으로, 이동통신 매출액 대비 0.8% 수준에 그쳤다.^[7] 유출 규모와 정보의 민감도 차이가 갈랐다.

유출 인원이 KT보다 훨씬 많고 유심 인증키처럼 복제에 쓰일 수 있는 민감 정보가 암호화되지 않은 채 새어 나간 점이 SK텔레콤 과징금을 끌어올린 반면, KT는 유출 인원은 적었지만 소액결제 피해라는 실질적 2차 피해가 확인돼 위반의 중대성 판단에 반영됐다.^[7]

SK텔레콤이 2026년 1월 19일 행정소송을 낸 이유

SK텔레콤은 취소소송 제기 기한을 하루 앞둔 2026년 1월 19일 오후 서울행정법원에 소장을 제출했다.^[8] SK텔레콤 측은 사고 인지 후 신고와 조사에 협조했고 확인된 금융 피해가 없다는 점, 고객 보호 대책과 후속 조치가 있었다는 점을 들어 과징금이 최대 한도로 부과된 것은 과도하다는 입장이다.^[8] 통신업계에서는 과징금 산정의 적정성 자체가 소송의 핵심 쟁점이 될 것으로 보고 있다.^[8] 소송이 제기됐다고 해서 과징금 납부 의무나 개인정보위의 처분이 바로 사라지는 것은 아니며 법원 판단이 나올 때까지 처분의 적법성을 다투는 절차가 진행 중인 상태다.

분쟁조정을 거부한 뒤 집단소송이 9천 명을 넘어섰다

한국소비자원 분쟁조정위원회는 2025년 12월 1인당 통신요금 할인 5만 원과 티플러스포인트 5만 포인트를 지급하는 조정안을 냈지만 SK텔레콤이 최종 거부하면서 소송으로 넘어갔다.^[10] 이용자 9,165명, 5,275명, 1,459명 규모의 소송이 병합돼 2026년 3월 26일 기준 원고가 9,166명에 이르는 집단 손해배상 소송이 본격화됐고 1건당 50만 원대의 위자료를 청구하고 있다.^[11] 이와 별도로 2026년 4월 중순에는 50여 명이 1인당 위자료 10만 원을 청구하는 소장을 추가로 접수할 예정이라고 보도됐다.^[10] 소송마다 청구 금액이 다른 것은 원고 규모와 소송 대리인, 청구 근거가 제각각이기 때문이다.

통신 분쟁조정 절차에서도 SK텔레콤은 물러서지 않았다. 방송통신위원회 통신분쟁조정위원회가 2025년 8월 21일 이동통신 위약금 전액 면제와 인터넷·IPTV 결합상품 위약금 절반 면제를 연말까지 연장하라고 결정했지만 SK텔레콤은 회사에 미치는 영향과 유사 소송·집단분쟁 파급 효과를 이유로 수락이 어렵다고 결론지었다.^[9]

위약금 면제는 끝났고 유심보호서비스는 계속 가입할 수 있다

SK텔레콤은 2025년 7월 4일 침해사고 발생 전 약정 고객 중 사고 이후 해지했거나 7월 14일까지 해지 예정인 고객에게 단말 지원금 반환금이나 선택약정할인 반환금 형태의 위약금을 면제하겠다고 발표했다.^[5] 같은 발표에서 7월 15일 0시 기준 약 2,400만 명의 고객과 알뜰폰 고객을 대상으로 8월 통신요금 50% 할인, 매월 데이터 50GB 추가 제공 등을 담은 5천억 원 규모 고객감사 패키지도 내놨다.^[5] 이 패키지는 2025년 12월 31일 종료됐고 4월 19일부터 7월 14일 사이 해지했다가 7월 15일 이후 재가입한 고객에게 가입 연수와 등급을 되돌려주는 혜택만 남아 있다.^[6] 위약금 면제 대상이 아닌 고객이 번호이동으로 통신사를 옮기는 경우라면 2026년 9월 시점에는 일반적인 위약금 규정이 그대로 적용된다.

유심보호서비스는 다르다. SK텔레콤은 사고 직후인 2025년 4월 19일부터 원하는 고객에게 유심보호서비스(무료)를 제공했다. 간단한 절차로 가입만 하면 별도 조치 없이 유심 정보를 보호할 수 있는 무료 부가서비스로 안내됐다.^[4][12] 이 서비스는 사고 대응을 위한 한시적 조치가 아니라 상시 가입 가능한 부가서비스로 운영되고 있어 2026년 9월 시점에도 T월드 등을 통해 신규 가입할 수 있다.^[12]

확인된 사실과 아직 모르는 것

• 공식 출처로 확인된 것 — 유출 인원 23,244,649명과 25종 정보 항목, 과징금 1,347억 9,100만 원·과태료 960만 원, 유심 인증키 26,144,363건의 평문 저장, 72시간 통지 의무 위반 사실은 개인정보위와 과기정통부가 공식 발표했다.^[1][2]
• 보도만 있고 공식 확인은 안 된 것 — 집단소송 원고 수(9,166명 등)와 청구 금액, 취소소송의 구체적 쟁점별 승패 전망은 언론 보도와 소송 당사자 주장에 기반한 것으로, 법원의 최종 판단은 아직 나오지 않았다.^[8][11]
• 앞으로 확인해야 할 지점 — 서울행정법원이 과징금 취소소송에서 산정 기준의 적법성을 어떻게 판단할지, 병합된 집단소송의 1심 결과가 언제 나올지는 2026년 9월 17일 기준으로 확정되지 않았다.

자주 묻는 질문

유출된 정보로 실제 금전 피해가 발생했나?

SK텔레콤은 사고 직후 공지에서 해당 정보가 실제로 악용된 사례는 확인되지 않았다고 밝혔고 취소소송 과정에서도 확인된 금융 피해가 없다는 점을 주장 근거로 들고 있다.^[4][8] 다만 이는 SK텔레콤 측 설명으로, 개인정보위가 부과한 과징금 자체는 실제 2차 피해 발생 여부와 별개로 유심 인증키 평문 저장 등 보호조치 미비를 근거로 산정됐다.^[1]

위약금 없이 다른 통신사로 옮길 수 있나?

2025년 7월 14일까지 해지한 고객에 한해 단말 지원금 반환금 등 위약금이 면제됐지만 이 기한은 이미 지났다.^[5] 방통위 분쟁조정위원회가 위약금 전액 면제를 연말까지 연장하라고 결정했음에도 SK텔레콤이 수락을 거부해 2026년 9월 시점에는 별도 조치가 없는 한 일반 위약금 규정이 적용된다.^[9]

과징금 1348억 원은 확정된 것인가?

개인정보위 의결 자체는 2025년 8월 27일 확정됐지만 SK텔레콤이 2026년 1월 19일 서울행정법원에 취소소송을 제기해 처분의 적법성을 다투고 있다.^[1][8] 법원이 처분을 취소하거나 금액을 조정할 가능성이 남아 있어 1,347억 9,100만 원이라는 숫자는 행정소송 결과가 나오기 전까지 최종 확정된 것은 아니다.^[8]

출처

1. 개인정보보호위원회, SK텔레콤 개인정보 유출사고 제재처분 의결 보도자료
2. 정책브리핑, SK텔레콤 침해사고 원인분석 결과 브리핑
3. 과학기술정보통신부, SKT 침해사고 원인분석 결과 및 조치방안 발표 보도자료
4. SK텔레콤 뉴스룸, 유심 관련 정보 유출 정황 및 유심보호서비스 안내
5. 파이낸셜뉴스, 해지고객 위약금 면제·5천억 고객감사 패키지 SKT 보상안 발표
6. 뉴시스, SKT 해킹 보상 혜택 종료 안내
7. 지디넷코리아, KT 540억·SKT 1348억 개인정보 유출 과징금 차이 분석
8. 뉴스핌, SK텔레콤 개인정보 유출 과징금 취소소송 제기
9. 경향신문, SKT 해지 위약금 면제 시한 연장 불가·방통위 직권조정 불수용
10. 파이낸셜뉴스, SKT 유심 해킹 결국 법정으로 피해자 집단소송 돌입
11. 네이트뉴스, 유심해킹 SKT 상대 소비자 9160여 명 집단 손배소 시작
12. 이야기모바일 공지, SKT망 사용고객 피해예방 유심보호서비스 안내