韓国通信大手が侵害、SKテレコムで何が起きたのか
韓国史上、最も深刻なサイバーセキュリティー事件の一つとして、同国最大の携帯電話会社SKテレコム（SKT）で大規模な情報流出が発生し、ほぼ全加入者の機密情報が漏えいした。2021年8月にも始まっていたとみられる侵害が発覚したのは2025年4月で、韓国のデジタルインフラに衝撃が広がり、企業の責任や国家安全保障、韓国におけるデータ保護の将来をめぐって緊急の課題が浮上している。
目次
当局はその後、ハッカーがSKTの中核ネットワークに侵入し、最大2700万人分の重要なSIMカード認証情報を含む約10ギガバイトのデータを持ち出したことを確認した。政府の調査や公の謝罪、顧客離れ、過去最高額となる罰金の可能性など、影響は急速かつ深刻に広がっている。しかし、これは技術的な失敗にとどまらない。通信業界全体への警鐘であり、進化するサイバー脅威の状況を考えるうえでの事例でもある。
侵害はどのように起きたのか 時系列と攻撃手法をたどる
SKテレコムへの侵害は、突然の強奪型攻撃ではなかった。長年にわたり検知されなかった、ゆっくりとした隠密の侵入だった。科学技術情報通信部と民間のサイバーセキュリティー専門家による合同調査によると、攻撃者は当初の見立てより約10カ月早い2021年8月6日にも、SKTの内部サーバーにマルウェアを仕込んでいた。高度なLinuxバックドア「BPFDoor」の少なくとも27種類を含むマルウェアにより、ハッカーはSKTのネットワーク内を横方向に移動し、最終的に加入者の認証と識別情報を管理する中央データベース、ホーム加入者サーバー（HSS）にアクセスした。
BPFDoorは、通常、豊富な資金を持ち、国家の支援を受けている場合もある高度持続的脅威（APT）グループと関連づけられるツールだ。発見を免れ、従来型のセキュリティー対策を回避できるため、特に危険性が高い。調査では、攻撃者がSKTのネットワーク管理システムの脆弱性を悪用したことが判明した。世界各地での他の事例で中国と関連するハッカー集団に結びつけられてきたIvanti製VPN機器など、サードパーティー製ソフトウェアの弱点を利用した可能性もある。
侵入後、ハッカーは98億2000万バイトのユニバーサル加入者識別モジュール（USIM）データを持ち出した。これには各SIMカード固有の識別番号である国際移動体加入者識別番号（IMSI）が含まれていた。このデータは携帯電話ネットワーク上で利用者を認証するために不可欠で、悪用されればSIMカードの複製や、SMSで送信される二要素認証コードの傍受につながる恐れがある。
さらに懸念されることに、調査当局は、端末識別情報や通話明細記録を含む機密データの多くが暗号化されず、平文で保存されていたことを突き止めた。基本的なセキュリティー管理の欠如により、情報流出の被害はそうでなかった場合よりもはるかに大きくなった。
盗まれたデータは何か 流出の規模とリスク
SKTの情報流出の規模は甚大だ。IMSI記録は約2700万件が漏えいした。SKTの現役加入者数を上回ることから、スマートウォッチやIoT機器の利用者、さらには元顧客にも影響が及んだ可能性がある。流出したデータには次のものが含まれていた。
- IMSI番号（携帯電話の「指紋」に当たる情報）
- USIM認証キー
- 電話番号
- 端末識別情報（IMEIも一部流出した可能性を示す証拠あり）
- 通話明細記録（CDR）。ただしSKTは暗号化されていたと主張
SKTは、氏名や住所、金融口座情報は流出していないとしているが、USIMとIMSIのデータが盗まれたことは依然として重大だ。この情報があれば、攻撃者は理論上、SIMカードを複製したり、SMSによる認証コードを傍受したり、SIMスワップ詐欺を試みたりできる。SIMスワップ詐欺とは、犯罪者が被害者の電話番号を乗っ取り、オンラインアカウントへのアクセスを得る手口だ。
現時点で、盗まれたデータが広範な詐欺や不正利用に使われたとの確認報告はない。しかしリスクは残っており、当局は影響を受けた利用者にSIMカードの交換と強化された保護サービスへの登録を呼びかけている。
攻撃の背後にいるのは誰か 諸説と国際捜査
SKTへの侵害を誰が指揮したのか、公式にはまだ明らかになっていない。しかし、集まりつつある証拠は、高度な技術を持ち、国家の支援を受けている可能性のある攻撃者を示している。中国系APTグループのSalt TyphoonやRed Mansionとの関連が指摘されてきたBPFDoorマルウェアが使われたことで、外国勢力の関与をめぐる憶測が広がっている。台湾のサイバーセキュリティー企業TeamT5は、SKTを含む韓国企業が利用するIvanti製VPN機器の脆弱性が、SKTへの侵害と同時期に世界各地で中国系ハッカーに悪用されていたと報告した。
韓国警察は米国を含む他の5カ国の法執行機関と協力し、攻撃を捜査している。不審なIPアドレスが100件以上特定され、海外企業18社にデータ提供を要請した。憶測はあるものの、当局は特定の国やグループが攻撃したとは公式に断定しておらず、捜査は続いている。
サイバーセキュリティーの専門家は、侵害が長期間にわたり隠密に進んだことから、単純な金銭目的以外の動機があった可能性を指摘する。高麗大学でサイバー防衛を専門とするイム・ジョンイン教授は、このような作戦は通常、一般的なサイバー犯罪者ではなく、長期的なアクセスや情報収集を狙う国家主体によるものだと述べた。
SKテレコムの対応 謝罪、補償、セキュリティーの全面見直し
SKテレコムは多方面から対応しているが、批判も招いている。情報流出が2025年4月に公表された後、同社は謝罪し、リュ・ヨンサン最高経営責任者（CEO）は「会社史上最も深刻なセキュリティー侵害」と述べた。SKグループのチェ・テウォン会長も謝罪し、被害に対して全面的に責任を負うと約束した。
事態の影響を抑えるため、SKTは顧客向けに次の取り組みを始めた。
- 2600超の店舗で2300万人全員を対象にSIMカードを無料交換
- 全顧客の8月分の利用料金を50％割引
- 無断の番号移転やSIM交換を防ぐSIM保護サービスの強化
- 影響を受けた顧客を対象に、契約の早期解約違約金を免除
顧客が最大500万人離れた場合、違約金の免除と売上減による損失は合計7兆ウォン（約51億ドル）を超える可能性があると同社は試算している。すでに数十万人が競合他社に乗り換え、SKTの株価も大幅に下落した。
技術面ではSKTは、大規模な「責任と約束プログラム」を発表した。情報保護システムを再構築するため、5年間で7000億ウォン（5億1400万ドル）を投資する。取り組みには次が含まれる。
- サイバーセキュリティーチームの規模を倍増
- 最高情報セキュリティー責任者（CISO）の報告先をCEOに変更
- 四半期ごとのセキュリティー監査と定期的な侵入テスト
- USIM認証キーを全面的に暗号化（競合のKTとLGユープラスはすでに導入済みの標準措置）
- 高度なエンドポイント検知・対応ソリューションの導入
- 脆弱性を先回りして探す「レッドチーム」の設置
SKTはまた、韓国のサイバーセキュリティー人材育成に100億ウォン（730万ドル）を拠出する基金を設立し、大学と連携するとともに、関連分野のスタートアップを支援している。
政府の対応 規制措置と罰則
韓国政府はSKTの情報流出に厳しい姿勢で臨んでいる。科学技術情報通信部は徹底した調査の結果、SKTが加入者データを保護する義務を怠ったと結論づけた。リュ・ジェミョン第2次官は、SKTがセキュリティー上の義務を果たさず、法定の24時間以内に侵害を報告しなかったことで、通知要件にも違反したと述べた。
これを受け、当局は次の罰則や義務を課した。
- 規制違反に対し最大3000万ウォンの罰金（個人情報保護法に基づき、さらに大幅な制裁となる可能性もある）
- 四半期ごとのセキュリティー検査と、少なくとも6カ月間のログ保存を義務化
- 影響を受けた顧客が違約金なしで契約を解除できるよう義務づけ
- データ保全命令に従わなかった疑いで刑事捜査に付託
個人情報保護委員会（PIPC）は、SKTの年間売上高の最大3％に相当する過去最高水準の罰金を検討している。金額は5300億ウォンを超える可能性がある。PIPCはまた、大手韓国企業全般でサイバーセキュリティーへの投資が不足していると批判し、業界全体で人員と予算の拡充を求めた。
なぜSKTは脆弱だったのか 韓国のサイバーセキュリティーにおける構造的課題
SKTへの侵害は単独で起きたものではない。韓国が直面するサイバーセキュリティー上の課題が広がる中で発生した。世界有数のデジタル先進社会である一方、韓国企業の多くは歴史的にサイバーセキュリティーへの投資が不足してきた。2024年の政府調査では、専任のサイバーセキュリティー人材が必要だと考える企業はわずか8.7％で、大企業でも優先課題とみなす企業は14％にとどまった。韓国のサイバーセキュリティー専門職の給与は世界水準に大きく及ばず、優秀な人材の採用や定着を難しくしている。
多くの企業は複数の職務を兼ねるIT担当者に依存し、専任のセキュリティー専門家を置く企業は一部に限られる。こうした構造的な投資不足により、SKTのような重要インフラ事業者でさえ高度な攻撃にさらされてきた。政府はこうした課題を認め、業界全体の改革を進めているが、SKTの事件は変革が急務であることを浮き彫りにした。
顧客が取るべき対応 身を守るための実践策
情報流出の影響を受けた数百万人のSKT加入者に対し、専門家や当局は詐欺や不正アクセスのリスクを抑えるため、速やかに次の措置を取るよう勧めている。
- SIMカードを交換する：SKTは無料交換を実施しており、交換すれば漏えいした認証キーは無効になる。
- SIM保護サービスに登録する：電話番号を現在利用中のSIMに電子的にひも付け、無断の番号移転やSIM交換を防ぐ。
- フィッシングに警戒する：SKTからの公式連絡のみを信用し、不審なリンクをクリックしたり、身に覚えのないメッセージに返信して個人情報を伝えたりしない。
- アカウントの再認証と確認を行う：重要なアプリからログアウトして再ログインし、金融口座に不審な動きがないか確認して、パスワードを更新する。可能であればSMSを使わない多要素認証を有効にする。
- 最新情報を確認する：SKTと政府機関の公式発表を確認し、最新の案内や問い合わせ窓口を把握する。
こうした対策を講じれば、SIMスワップ詐欺や情報流出に起因するその他の不正行為のリスクを大幅に減らせる。
より広い影響 国家安全保障と通信業界の将来
SKTへの侵害は企業危機にとどまらず、国家安全保障上の問題でもある。韓国を代表する通信事業者であるSKTは、携帯電話通信だけでなく、金融取引や本人確認、重要サービスを支える同国のデジタルインフラの要だ。今回の侵害によって、スパイ活動や監視、重要システムの妨害に悪用されかねない脆弱性が明らかになった。
政府当局者やサイバーセキュリティーの専門家は、この事件を業界全体への警鐘とすべきだと指摘している。ユ・サンイム科学技術情報通信相は次のように述べた。
今回のSKTへの侵害は、通信業界全体と韓国のネットワークインフラに対する警鐘だ。韓国最大の携帯電話会社として、SKTはサイバーセキュリティーを最優先しなければならない
政府は現在、通信事業者全体を対象に、規制強化や罰金引き上げ、セキュリティー基準の義務化を検討している。サイバー脅威は国境を越えて広がり、連携した対応が必要となることから、国際協力にも改めて力を入れている。
要点
- SKテレコムで大規模な情報流出が発生し、最大2700万人分のSIM認証情報が漏えいした。
- 侵害は2021年8月に始まったが、発覚したのは2025年4月で、検知と対応の不備が浮き彫りになった。
- ハッカーは高度なマルウェアを使用した。BPFDoorの可能性が高く、中国との関係が指摘されるAPTグループとの関連もある。
- 盗まれたデータにはIMSI番号、USIMキー、電話番号が含まれ、SIM複製や詐欺のリスクが高まっている。
- SKTはSIMカードの無料交換や料金免除、サイバーセキュリティーへの大規模投資を打ち出したが、過去最高額の罰金や顧客流出に直面している。
- 政府は罰則や改革を義務づけ、SKTの情報流出への対応をめぐる刑事捜査を開始した。
- この事件は、特に大企業における韓国のサイバーセキュリティー体制の構造的な弱さを露呈した。
- 顧客にはSIMカードの交換や保護サービスへの登録、詐欺への警戒が呼びかけられている。
- 国家安全保障にも関わるこの侵害を受け、業界全体の改革と国際協力が進められている。
