꼭 읽어보기 2025년 개인정보 유출 사태를 돌아보며

2025년은 국내 통신 보안 역사에 깊이 각인될 해였습니다.  통신 3사가 예외 없이 해킹 사고를 겪었고, 그 과정에서 수많은 가입자의 개인정보가 외부로 유출됐습니다. 사고의 방식이나 규모는 서로 달랐지만, 공통점도 있습니다. 사고 자체보다 이를 인지하고 대응하는 과정이 지나치게 늦었다는 점이죠.

이 글은 특정 통신사를 비판하기 위해 쓰인 것이 아닙니다.
다만 2025년에 연이어 발생한 사건들을 통해 개인정보를 다루는 조직이 어떤 방식으로 실패했고, 그 실패가 어떤 지점에서 반복되고 있는지를 정리하고자 합니다. 그리고 이를 통해 백메가가 어떤 태도로 고객의 정보를 대해야 하는지를 스스로에게 남기기 위한 기록이기도 합니다.

장기간 잠복한 서버 침해 : SK텔레콤

SK텔레콤 해킹은 전례가 없는 규모였는데요, 사실 사건의 본질은 규모보다 시간에 있습니다.

2025년 4월, SK텔레콤의 핵심 서버인 HSS(Home Subscriber Server)에서 악성코드가 발견되었는데, 해당 악성코드는 최소 2021년부터 활동해 온 것으로 확인되었습니다. 쉽게 말해, 3년 가까운 시간 동안 외부 침입자가 서버 내부에 잠복한 채, 가입자를 식별하고 인증하는 핵심 정보를 지속적으로 들여다보고 있었던 셈입니다.

피해 규모는 약 2,600만 건이니, 사실상 전체 가입자가 영향을 받았다고 보는 편이 현실적입니다. "위약금 면제 해지"라는 이례적인 조치가 뒤따른 것도 이 사건이 가진 무게를 보여줍니다.

USIM 무상 교체 · 위약금 면제 해지 등 사상 초유의 수습 대책이 이루어졌습니다

SK텔레콤은 정보보호 분야에 매년 약 600억 원 수준의 예산을 투입해 왔습니다. 결코 적지 않은 금액입니다. 그럼에도 불구하고 해킹 사실을 3년 가까이 인지하지 못했다는 점은, 단순히 특정 보안 시스템의 실패만으로 설명되긴 어렵습니다.

물리적 접근을 동반한 현장 공격 : KT

SK텔레콤이 서버 핵심부를 침해당했다면, KT는 "현장을 바꿔치기" 당했습니다. 공격 대상은 무선 신호를 보강해 주는 초소형 기지국 장비인 펨토셀(Femtocell)이었는데, 이 장비가 위조된 것이지요.

스마트폰을 비롯한 단말기는 주변에서 신호가 가장 강한 기지국을 자동으로 선택합니다. 이 특성을 악용해 위조된 펨토셀에 접속한 단말기에서 ARS 인증, 문자 인증 등 결제 과정에 사용되는 정보가 외부로 노출되었고, 일부는 실제 소액결제 피해까지 이어졌습니다. 

• 위조된 불법 펨토셀 : 20대
• 개인정보 유출 가입자 : 22,227명
• 소액결제 피해 발생자 : 최소 368명
• 소액결제 피해 금액 : 약 2억 4천만 원

직접적인 원인은 협력사가 관리하던 장비의 보안 취약점이었지만, 결과적으로 장비 관리와 검증 체계 전반의 책임은 KT에게 있습니다. 이 사건은 해킹이 반드시 원격 서버 침입의 형태로만 발생하지 않으며, 물리적 접근과 현장 조작 역시 개인정보 유출의 출발점이 될 수 있음을 보여준 사례입니다.

기술보다 대응 태도가 문제 : LG유플러스

SK텔레콤과 KT의 피해가 연이어 터지면서, LG유플러스는 은근한 수혜자가 되어 있었습니다. 하지만 2025년, 대규모 서버 해킹 정황이 드러나며 LG유플러스도 결국 도마 위에 오르게 됩니다. 사건은 협력사 해킹에서 시작되었고 서버 8,938대, 계정 42,526개, 직원 167명의 정보가 유출되었지요.

더 큰 문제는 대응 태도였습니다. "정보 유출은 맞지만 침해 정황은 없다"는 다소 이해하기 어려운 입장을 유장기간 유지했습니다. 이 과정에서 피해 사실은 한국인터넷진흥원(KISA)에 즉시 신고되지 않았고, 국정감사와 언론 보도가 이어진 이후에야 사건이 외부에 알려지게 됩니다.

결국 실제 침해 발생 시점으로부터 3개월이 지나서야 공식적인 문제 제기가 이루어진 셈입니다. 여기에 더해 서버의 폐기, 운영체제 재설치 등 증거 훼손 의혹까지 제기되며 논란의 초점이 점차 이동합니다. "어떻게 뚫렸는가"보다 "왜 숨기려 했는가"와 "얼마나 투명하게 대응했는가"가 더 큰 쟁점이 된 것입니다.

이 사건은 보안 사고의 성격이 기술 문제에서 끝나지 않으며, 조직의 대응 태도와 투명성이 피해 크기와 신뢰 붕괴를 좌우한다는 점을 보여준 사례였습니다.

3사가 해킹 골든벨을 울린, 이례적인 2025년이었습니다.

왜 이런 일들이 반복되었을까

업계에서는 예고된 사고라는 평가마저 나옵니다. 작은 경고를 무시하면 큰 사고로 이어진다는 하인리히 법칙처럼, 이미 여러 균열이 오래전부터 존재했을 가능성이 큽니다.

• 장기간 방치된 구형 장비
• 협력사 의존적인 구조
• 고객 정보가 한데 모여있는 구조적 문제
• 그리고 익숙함에서 오는 방심

이 모든 요소가 누적된 끝에 한꺼번에 드러난 것이, 2025년의 보안 사고 아니었나 싶습니다.

유선 인터넷은 괜찮은가?

다행히 2025년 발생한 통신사 개인정보 유출 사고에서 유선 인터넷 고객의 개인정보가 직접적으로 유출된 사례는 보고되지 않았습니다. 이번 사태의 1차 타깃은 이동통신망이었습니다. 휴대폰 가입 정보와 인증 관련 데이터가 노출된 것이지, 유선 인터넷이나 IPTV 가입자의 정보가 직접 해킹당한 것은 아닙니다.

하지만 마냥 안심할 수 없습니다. 무선과 유선은 기본적으로 같은 고객 정보를 공유합니다. 저장 서버가 동일하다면, 이론적으로 완전히 안전하다고 단정할 수는 없습니다. 한 곳이 뚫리면 연쇄 피해 가능성은 언제나 존재합니다.

"아직 괜찮다"와 "앞으로도 괜찮다"는 전혀 다른 말이니까요.

소비자는 무엇을 해야 하나?

거창한 보안 지식이 필요하진 않습니다. 다음은 현실적으로 할 수 있는 최소한의 대비입니다.

• 명의도용 방지 서비스 가입 (정부 운영, 무료)
  내 명의로 인터넷, 휴대폰이 개통된다는 사실을 실시간으로 알림받을 수 있고, 아예 차단하는 것도 가능합니다.
  
  
• 주요 서비스 비밀번호 분리
  같은 비밀번호를 여러 서비스에 쓰고 있다면, 적어도 통신사/주요 포털/은행, 증권만큼은 꼭 완전히 다르게 설정하세요.
  
  
• 2단계 인증(2FA) 무조건 활성화
  카카오, 네이버, 구글, 애플, 각종 앱에서 제공하는 2단계 인증은 기본 안전장치입니다. 
  
  
• 휴대폰 소액결제 한도 0원 설정
  평소에 거의 쓰지 않는다면 한도를 0원으로 잠가두고, 필요할 때만 잠깐 풀었다가 다시 잠그는 습관을 들이는 게 좋습니다.
  
  

• 통신사 / 포털 알림 켜두기
  본인확인 시도, 새 기기 로그인, 비밀번호 변경, 회선 개통 · 유심 교체 · 명의 변경 - 이런 이벤트에 대해 푸시나 문자 알림을 켜두면, 해킹 시도를 빠르게 눈치챌 수 있습니다. 

이 5가지만 지켜도 2차 피해 가능성은 크게 낮아집니다. 설령 정보가 유출되더라도 너무 걱정 마세요. 실제 소비자 피해로 이어지는 경우, 통신사들은 -그것이 자의든 타의든- 적극적으로 보상과 해결에 나설 수밖에 없습니다. SK텔레콤과 KT의 위약금 면제 조치가 그 사례입니다.

저희도 자유롭진 않습니다.

사실 남의 일 같지 않습니다. 저희 백메가도 매년 약 11만 건, 1000억 원 규모의 유선 인터넷 유통을 책임지고 있는 만큼, 보안에 대한 경계심도 결코 작지 않더군요. 수많은 고객 정보가 오가는 구조이기에, 보안에 상당히 민감합니다.

그래서 오랜 시간 보안 전담 조직을 운영해왔고, 보안 시스템에 꽤 많은 예산을 투자했으며, 외부 전문 컨설팅도 꾸준히 받습니다. 하지만 솔직히 말씀드리면.. 대기업조차 한순간에 무너지는 걸 보며 "우리는 괜찮다"고 말할 용기는 없습니다. 

개인적으로 보안은 선언이 아니라 긴장이라고 생각합니다. 예산을 썼다고 끝나는 일도 아니고, 솔루션을 도입했다고 안심할 일도 아닙니다. 어쩌면 보안의 본질은 완벽함이 아니라 태도인지도 모르겠습니다.

보안 컨설팅은 전문 업체인 캐치시큐(오내피플)를,
보안 솔루션은 네이버 클라우드 플랫폼을 비롯한 각종 서비스를 이용합니다

하나는 약속드립니다. 문제가 생기면 숨지 않겠습니다. 회사라는 시스템 뒤에 숨어, 소비자 개인정보를 모호하게 다루지 않겠습니다. 사고보다 더 무서운 건 침묵과 회피라는 걸 2025년의 사건들이 크게 보여준 듯합니다. 누구나 제로 트러스트를 꿈꾸는 시대지만, 사실 어떤 시스템도 완벽하지 않을 겁니다. 완벽하다 말할 순 없지만, 무심하지는 않겠습니다.

혹시라도 백메가 개인정보 관리 체계가 궁금하시다면 편하게 댓글로 물어봐 주세요. 어렵게 말하지 않고 있는 그대로 설명드리겠습니다. 긴 글 읽어주셔서 감사합니다.