SK텔레콤 유심 정보 해킹, BPFDoor와 Red Menshen, 주한미군의 경고
July 17, 2026
글: 진 커밍스
The Korea Signal 공동편집장 겸 수석 칼럼니스트
현재 한국 내 중국 영향력 문제는 반도체 인력 포섭이나 산업기술 유출에만 머물지 않는다. 더 위험한 영역은 통신망과 디지털 인프라를 통한 안보 침투다. 휴대전화 유심 정보와 본인 인증, 금융 계좌, 메신저, 전자상거래, 정부 전산망, 군사 관계자의 통신까지 한국 사회의 핵심 기능은 모두 디지털망 위에서 움직이기 때문에, 통신망이 뚫린다는 것은 단순히 한 기업의 고객 정보가 유출되는 것이 아니라 국민의 신원과 금융, 정부기관, 군 관계자, 방산업체, 주한미군까지 연결된 한국 사회의 핵심 인증 체계가 외부에 노출될 수 있다는 뜻이다.
최근 한국에서는 이 영역과 관련된 사건들이 반복적으로 터졌다. SK텔레콤 해킹과 유심 정보 유출, BPFDoor와 Red Menshen, 중국인 직원에 의한 쿠팡 개인정보 유출 등 한국 국민의 통신과 생활 정보가 집중된 대형 기업에서 심각한 보안 사고가 잇따랐지만, 한국 정부는 이를 차단하기 위한 강력한 대응에 나서기보다 정치권이 오히려 중국에 더 적극적으로 문을 열어주고 있다. 이러한 한국 내 중국의 영향력 확장 문제를 들여다보려면 정부 발표나 보도자료에만 의지해서는 안 된다. 정치권뿐 아니라 한국의 언론과 콘텐츠 산업에도 중국 자본이 깊숙이 들어와 있고, 일부 주요 언론은 중국의 위협을 제대로 보도하기보다 트럼프 대통령과 미국을 비판하는 보도에 집중하며 반미 여론을 키우고 있기 때문에, 드러난 사건의 표면뿐 아니라 한국 언론이 보도하지 않는 시민들의 목소리까지 함께 봐야 그 심각성을 알 수 있다.
1. SK텔레콤 유심 정보 해킹 사건
2025년 4월, 한국 최대 이동통신사인 SK텔레콤의 유심 정보 해킹 사건이 드러났다. 더욱 심각한 것은 이 사건이 쿠팡 사건처럼 특정 시점에 발생한 일회성 정보 유출이 아니라, 공격자가 SK텔레콤 내부 서버에 침투한 뒤 수년 동안 접근 권한을 유지해 온 사건이었다는 점이다.
특히 이 사건은 윤석열 전 대통령 탄핵 이후 다시 치러진 대선 직전에 발생했다는 점에서 한국 보수진영에 큰 분노와 논란을 일으켰으며, 이후 보수진영에서는 중국이 한국 국민들의 개인정보를 탈취해 선거에 개입했고, 이재명이 중국의 도움을 받아 선거를 조작하고 대통령에 당선됐다고 보고 있다.
더욱 놀라운 것은 미국에서도 2020년부터 2026년 현재까지 이와 유사한 통신망 침투와 선거 개입 우려가 계속 이어져 왔다는 사실이다. 이를 함께 놓고 보면 중국은 미국뿐 아니라 주변국인 한국에도 같은 방식으로 국가 시스템에 침투해 왔다는 점을 알 수 있다.
한국 과학기술정보통신부 민관합동조사단은 SK텔레콤 전체 서버 4만2,605대를 조사한 결과 28대의 서버에서 33종의 악성코드를 확인했으며, 이 가운데 27종은 BPFDoor 계열이었다. 이 밖에도 TinyShell 3종, WebShell 1종, CrossC2 1종, Sliver 1종이 발견됐다는 점에서, 공격자가 한두 대의 서버에 우연히 들어온 것이 아니라 여러 악성 도구를 사용해 내부망에 장기간 숨어 있었음을 알 수 있다.
민관합동조사단은 최초 악성코드 설치 시점을 2022년 6월로 특정했다. 이는 2025년 4월 사고가 드러나기 전까지 약 3년 가까이 한국 최대 통신사 내부에 공격자의 침투가 지속됐다는 뜻이다.
유출 규모도 컸다. 한국 정부 조사와 외신 보도에 따르면 SK텔레콤 사건으로 IMSI 기준 약 2,696만 건의 사용자 데이터가 유출됐으며, 유출된 자료는 USIM 관련 정보 25종, 약 9.82GB에 이르는 것으로 알려졌다.
SK텔레콤은 이후 5년간 약 7,000억 원 규모의 데이터 보호 투자를 발표하고 가입자들에게 유심 교체와 요금 할인 조치를 제공했지만, 이미 국민들의 정보가 외부로 유출된 뒤였기 때문에 중국이 이러한 개인정보를 이용해 국가 시스템과 선거에 개입하거나 조작하는 데에는 훨씬 더 수월했을 것이다.
이 사건에서 가장 중요한 것은 유심 정보다. 유심은 휴대전화 가입자를 식별하고 통신망 접속을 인증하는 핵심 장치이기 때문에, 유심 관련 정보가 유출되면 단순한 이름과 전화번호 유출과는 차원이 다르다. 통신 인증과 가입자 식별, 단말기 식별, 위치 기반 서비스, 휴대전화 복제 위험은 물론 금융과 본인인증 서비스까지 연결될 수 있다.
한국 사회에서 휴대전화 인증은 은행과 쇼핑, 병원 예약, 공공서비스, 메신저, 업무용 계정, 클라우드 접속까지 모두 연결돼 있다. 그렇기 때문에 한국 보수층은 SK텔레콤 해킹을 일반적인 개인정보 유출이 아니라 통신 인증 체계가 공격받은 사건으로 봤고, 중국이 이러한 정보를 이용해 금융사기는 물론 한국의 선거 시스템에도 침투해 선거를 조작했다고 보는 것이다.
한국의 많은 시민은 “한국 1위 통신사가 수년간 뚫렸는데 왜 배후에 대한 설명은 하지 않는가”, “왜 중국계 해킹조직 의혹을 더 강하게 다루지 않는가”, “이것은 국가안보 사건인데도 왜 유심 교체와 보상 문제로만 축소해 넘어가는가”라는 비난을 쏟아냈지만 정부는 침묵했다.
한국의 핵심 산업 인력과 방산 관계자, 공무원, 정치인, 언론인, 군 관계자들도 모두 같은 통신망 위에서 움직이며, 특히 반도체 인력과 방산 공급망 관계자들은 휴대전화 인증과 메신저, 이메일, 클라우드, 각종 플랫폼으로 연결돼 있다.
한국 최대 통신사의 핵심 서버가 장기간 뚫렸다면 이는 단순한 개인정보 유출을 넘어 한국 사회의 핵심 인물과 조직의 통신 패턴을 수집할 수 있는 통로가 된다. 중국이 한국의 반도체 인력을 직접 빼내고 통신망까지 침투했다면, 그들이 데려간 인력과 기업을 통해 정부기관과 방산 관계자의 이동 경로는 물론 인증이 필요한 국내 통신망의 정보까지 실시간으로 파악할 수 있는 기반이 마련된 것이다. 이 사건의 국가안보상 위험은 뒤에서 살펴볼 쿠팡 개인정보 유출과는 성격이 전혀 다르다.
2. BPFDoor와 Red Menshen 의혹
SK텔레콤 해킹 사건에서 가장 중요한 기술적 단서는 BPFDoor다. BPFDoor는 리눅스 서버 안에 숨어 있다가 특정한 네트워크 패킷 신호가 들어올 때만 반응하는 은닉형 백도어로 알려져 있으며, 일반적인 악성코드처럼 포트를 열어놓고 대기하는 방식이 아니기 때문에 탐지가 어렵다. 공격자가 장기간 조용히 내부망에 머물다가 필요할 때만 반응하도록 설계된 형태였던 것이다.
보안업계에서는 BPFDoor가 중국계 위협 행위자인 Red Menshen과 연결된 공격에서 통신망을 겨냥해 사용됐다는 분석을 내놓아 왔다. Rapid7은 BPFDoor가 통신망 내부에 ‘디지털 잠복 세포’처럼 숨어 있을 수 있으며, Red Menshen과 연결된 활동에서 통신 인프라가 주요 표적이 됐다고 분석했다.
통신망 내부에 이러한 백도어가 숨어 있었다는 것은 단순히 파일 몇 개가 탈취됐다는 뜻이 아니라, 공격자가 통신망의 구조와 인증 흐름, 가입자 식별 체계, 관리 서버의 연결 구조를 장기간 들여다볼 수 있었다는 뜻이다.
국내 보안업계 역시 SK텔레콤 사건에서 발견된 BPFDoor가 중국계 해킹조직 Red Menshen의 과거 활동과 닮아 있다고 분석했으며, 고려대학교 정보보호대학원 발표와 보안뉴스 보도에서도 기존에 김수키 계열로 추정됐던 일부 해킹 자료가 북한보다 중국의 소행일 가능성에 무게를 둘 수 있다는 분석이 제기됐다.
발표 내용에는 중국어 주석과 중국 커뮤니티 접속 기록, 중국 공휴일과 맞물린 활동 패턴, 중국계 해커조직 APT41과 UNC3886이 사용해 온 공격 도구와 유사한 흔적 등이 포함됐다. 이러한 기술적 흔적이 왜 미국 안보와도 연결되는지는 주한미군의 직접 경고에서 확인된다.
3. 주한미군이 직접 경고한 이유
주한미군(USFK·United States Forces Korea)도 2025년 4월 28일 ‘SK Telecom Breach Cyber Threat Advisory’를 발표했다. 이 경고문은 SK텔레콤이 2025년 4월 18일 사이버 공격과 데이터 유출을 겪었으며, 해커들이 Home Subscriber Server, 즉 HSS에 침투해 유심 정보와 인증키를 포함한 민감한 정보를 탈취했을 가능성이 있다고 설명했다.
주한미군은 유출된 USIM 데이터가 SIM 복제와 전화번호 탈취, 다중인증 코드 탈취, 은행 앱 접근, 신원 도용에 악용될 수 있다고 경고했다.
이 대목은 매우 중요하다. 주한미군이 한국 통신사의 사고를 단순한 민간기업의 보안 사고로 보지 않았다는 뜻이기 때문이다. 한국에 주둔하는 미군과 군무원, 그 가족과 계약업체 직원들은 모두 한국 통신망을 사용한다. 따라서 통신망 침투는 군사 작전계획 유출 위험도 배제할 수 없으며, 주한미군의 인적 네트워크와 통신 패턴, 인증 체계, 위치 정보, 표적 선정 등 미국 안보 전반과 연결될 수 있다는 점에서 매우 심각한 사안이다.
4. 미국 Salt Typhoon 사건과 같은 맥락
미국에서는 중국 연계 해커조직 Salt Typhoon이 AT&T와 Verizon 등 주요 통신망에 침투했다는 보도가 이어졌다. Reuters는 2024년 12월 미국 정부 관계자를 인용해 중국 해킹그룹 Salt Typhoon이 대규모 사이버 첩보 작전에서 미국인의 통화 메타데이터를 훔쳤으며, 미국 통신 인프라에 대한 접근 범위가 광범위했다고 보도했다.
2025년 8월에는 NSA와 미국 및 동맹국 기관들이 중국 정부의 지원을 받는 APT 행위자들이 전 세계 통신과 정부, 교통, 숙박, 군사 인프라 네트워크를 겨냥하고 있다며 공동 사이버보안 권고를 발표했고, FBI도 Salt Typhoon을 중국과 연계된 행위자로 지목하면서 이들이 2019년부터 활동했고 세계 통신망의 프라이버시와 보안 규범을 침해했다고 설명했다.
미국 상원도 이 문제를 직접 다뤘다. 2025년 6월 마리아 캔트웰 상원의원은 AT&T와 Verizon에 Salt Typhoon 해킹과 관련한 답변을 요구하며, 중국계 사이버 작전이 미국 통신망에 얼마나 깊숙이 침투했고 어느 범위까지 영향을 미쳤는지를 따졌다.
이 미국 사례는 한국의 SK텔레콤 사건을 바라보는 기준을 제공한다. 중국계 사이버 작전은 단순히 데이터를 훔치는 데서 끝나지 않으며, 통신망에 들어가면 누가 누구와 연결돼 있는지, 어떤 조직이 어떤 번호와 인증 체계를 사용하는지, 어떤 정부와 기업 인물이 어떤 네트워크 위에서 움직이는지까지 파악할 수 있다.
SK텔레콤 사건을 Salt Typhoon과 비교하며 우려하는 이유는 미국에서는 중국계 통신망 침투를 국가안보 사건으로 다루는 반면, 한국의 좌파 정치권은 이를 기업의 관리 부실과 고객 보상 문제로 축소한 채 넘어가고 있기 때문이다.
한국의 좌파 정권은 오랜 세월 중국공산당과 북한이 관련된 사건이 터질 때마다 그 범죄성과 안보 위험을 축소하거나 감싸는 태도를 보여 왔으며, 특히 이재명 정부가 들어선 뒤에는 SK텔레콤 사건의 중국계 배후 가능성을 제대로 밝히지 않으면서도 미국 기업인 쿠팡에는 역대 최대 과징금을 부과하는 방식으로 그 편향성이 더욱 노골적으로 드러나고 있다. 국민들은 이를 단순한 보도 방식의 문제가 아니라 공산세력의 안보 위협을 정부가 의도적으로 낮춰 보이려는 행위로 보고 있다.
5. SK텔레콤 내부 보안 실패가 드러낸 문제
SK텔레콤 사건이 더 심각한 이유는 공격자가 내부로 들어온 뒤 핵심 서버까지 어떻게 이동할 수 있었느냐는 데 있다. 한국 정부의 최종 조사 결과에 따르면 SK텔레콤은 일부 계정 정보를 평문으로 저장했고, 공격자는 이를 이용해 음성통화 인증 관리 서버와 HSS 서버에 접근했다.
HSS는 이동통신망에서 가입자 인증과 서비스 권한을 관리하는 핵심 장비이기 때문에, 이번 사건은 단순한 ‘유심 정보 유출’이 아니라 통신망의 중심부가 열렸을 가능성을 봐야 하는 사안이다.
방화벽 로그 보관이 충분하지 않았다는 점도 중대하다. 로그가 남아 있지 않으면 공격자가 언제 들어왔고, 어느 서버를 거쳤으며, 어떤 계정으로 움직였고, 어떤 정보에 접근했는지를 뒤늦게 확인하기 어렵기 때문에, 국가 기반 통신망에서 로그 관리 부실은 공격자의 흔적을 추적하지 못하게 만드는 치명적인 결함이다.
6. 쿠팡 개인정보 유출과 전직 중국인 직원 의혹
통신망만 문제가 아니다. 2025년 말에는 쿠팡 개인정보 유출 사건이 터졌다. 쿠팡은 한국 최대 전자상거래 플랫폼이며, 사실상 한국인의 주소와 전화번호, 배송지, 주문 내역이 집중된 거대한 민간 데이터베이스다.
한국 정부는 쿠팡에서 3,370만 고객 계정의 개인정보가 유출됐다고 발표했으며, 유출 정보에는 이름과 이메일 주소, 전화번호, 배송지 주소, 일부 주문 내역이 포함됐다. 쿠팡은 결제 정보나 로그인 정보는 포함되지 않았다고 밝혔다.
이 사건은 중국 국적의 전직 쿠팡 직원이 저지른 일이었음에도 한국 개인정보보호위원회는 쿠팡에 6,250억 원, 약 4억900만 달러의 과징금을 부과했으며, 이는 한국 역사상 최대 개인정보 유출 과징금이었다.
그러나 쿠팡 사건은 SK텔레콤 사건과 성격이 전혀 다르다. SK텔레콤 사건은 장기간에 걸쳐 국가 통신 인증망이 침투당한 사건이었고, 쿠팡 사건은 대형 민간 플랫폼의 내부자 통제와 인증키 관리 실패로 발생한 정보 유출이었기 때문에, 피해 규모와 국가안보에 미치는 위험성을 함께 따져보면 SK텔레콤 사건은 쿠팡 사건보다 훨씬 더 크고 심각한 사건이었다.
두 사건은 동시에 같은 질문도 던진다. 한국 사회의 핵심 데이터가 몇몇 대형 민간 플랫폼에 집중돼 있는 상황에서 내부자 관리와 보안키 관리가 제대로 이루어지지 않으면, 외부 세력은 굳이 정교한 해킹을 하지 않고도 대규모 국민 데이터를 확보할 수 있다는 점이다.
특히 쿠팡 사건이 중국 국적의 전직 직원에 의해 벌어졌다는 사실은 한국 보수층에 강한 충격을 줬다. 시민들은 “중국이 한국인의 주소와 전화번호, 배송지, 생활 패턴까지 볼 수 있게 된 것 아니냐”는 반응을 보이며, 기업 내부에까지 중국인들의 침투가 이루어지고 있다는 점에서 깊은 우려를 나타냈다.
데이터의 성격도 결코 가볍지 않다. 배송지와 주문 정보는 개인의 거주지와 가족 구성, 생활 패턴, 직장 주소, 반복 이동 경로를 추정할 수 있는 민감한 정보이기 때문에, 중국이 한국 국민의 모든 움직임을 감시하는 것 아니냐는 불안감이 커지고 있는 것이다.
이 사건은 단순한 내부 직원의 일탈이 아니다. 중국 국적의 전직 직원이 퇴사한 뒤에도 인증 시스템의 핵심 업무에 접근할 수 있도록 signing key가 살아 있었다는 사실이 충격적이었으며, 거의 전 국민이 사용하는 쿠팡에 저장된 국민들의 주소와 공동현관문을 열 수 있는 비밀번호 등이 노출될 수 있기 때문이다.
이 문제는 미국 안보와도 연결된다. 한국에 거주하는 주한미군 가족과 미국 기업 직원, 외교 인력, 방산 관계자도 쿠팡을 사용할 수 있기 때문에, 배송지와 전화번호, 주문 내역, 주거지 출입 정보는 단순한 소비 정보가 아니다. 특정 인물이 어디에 살고, 어떤 물품을 정기적으로 받으며, 어떤 지역에서 생활하는지를 보여주는 개인 생활 정보를 적대국이 확보하게 되는 것이다.
결론: 한국 통신망 보안은 한국만의 문제가 아니다
SK텔레콤 해킹은 단순한 기업 관리 실패가 아니다. 한국 최대 통신사의 핵심 인증 서버에 공격자가 수년 동안 머물렀고, 약 2,696만 건의 가입자 정보와 유심 관련 정보가 유출됐으며, 중국계 해킹조직이 사용해 온 BPFDoor와 Red Menshen의 흔적이 제기된 국가안보 사건이다.
더욱이 한국 통신망을 이용하는 사람은 한국 국민만이 아니다. 정부 공무원과 군 관계자, 반도체와 방산업체 인력, 미국 외교 인력, 주한미군과 군무원, 계약업체 직원과 그 가족들까지 같은 통신망과 본인인증 체계를 사용한다.
중국이 한국의 사람만 노리는 것이 문제가 아니다. 중국 또는 중국계 사이버 작전이 한국의 통신망과 디지털 인프라를 들여다볼 수 있다면, 한미동맹의 정보보안과 주한미군의 통신 환경, 방산 공급망, 첨단 AI와 반도체 협력까지 흔들 수 있다.
미국은 Salt Typhoon의 통신망 침투를 국가안보 사건으로 다루고 있지만, 한국 정부는 SK텔레콤 사건을 유심 교체와 보상, 기업 관리 부실 문제로 축소했으며, 중국의 사이버 공격 위험성은 제대로 밝히지 않으면서 미국 기업인 쿠팡에는 역대 최대 과징금을 부과했다.
한국의 통신망 보안은 한국만의 문제가 아니다. 한국 국민의 신원과 한국 정부의 행정, 주한미군의 작전 환경, 미국의 첨단기술 통제망과 직결된 문제다. 한국이 통신망과 인증 체계를 지키지 못하면 중국은 총을 쏘지 않고도 한국의 가장 약한 문을 열 수 있으며, 그 피해는 한국 기업의 손실을 넘어 한국 국민의 신원, 정부 행정, 주한미군의 작전 환경, 미국의 인도태평양 안보 구조까지 흔들게 된다.
Selected Sources
Ministry of Science and ICT–KISA Joint Investigation Team, Final Investigation into the SK Telecom Cyberattack, July 4, 2025.
조사단은 SK텔레콤 전체 서버 4만2,605대를 조사해 28대 서버에서 BPFDoor 계열 27종을 포함한 악성코드 33종을 확인했으며, 유출된 USIM 정보는 25종, 약 9.82GB, IMSI 기준 약 2,696만 건이라고 발표했다.
U.S. Forces Korea, “SK Telecom Breach Cyber Threat Advisory,” April 28, 2025.
주한미군은 해커들이 SK텔레콤의 HSS에 침투해 USIM 정보와 인증키를 탈취했을 가능성을 지적하고, 유출 정보가 SIM 복제와 전화번호 탈취, 다중인증 코드 가로채기, 은행 앱 접근과 신원 도용에 악용될 수 있다고 경고했다.
Cybersecurity and Infrastructure Security Agency, “Countering Chinese State-Sponsored Actors’ Compromise of Networks Worldwide to Feed Global Espionage Systems,” August 27, 2025.
CISA와 NSA, FBI 및 동맹국 기관들은 Salt Typhoon으로도 불리는 중국 정부 지원 사이버 행위자들이 미국을 비롯한 세계 각국의 통신·정부·교통·군사 관련 네트워크를 공격해 장기적인 첩보 접근망을 구축하고 있다고 공동 경고했다.
본 콘텐츠의 저작권은 법적으로 보호받고 있으며, 발행인과 저자의 사전 서면 동의 없이 본문의 일부 또는 전부를 무단 전재, 복사, 배포 또는 전송할 수 없습니다.
