# 2300万人换卡：SKT泄密复盘 ## 概述 2025年4月18日，韩国最大运营商SK Telecom（SKT）的核心网用户数据库HSS/UDR被黑客打包带走9.82GB数据，波及2320万用户——相当于韩国一半人口。随后这个国家发生了通信史上罕见的场面：2300多万张USIM卡免费大换卡、245万用户携号转网出逃、8月底PIPC开出1348亿韩元（约9700万美元）的韩国个人信息保护史上最大罚单。本文以PIPC处罚决定、韩联社及Light Reading的报道为依据，复盘这次攻击的入侵路径、USIM泄密到底危险在哪、换卡工程怎么落地，以及给核心网运维同行的教训。 ## 目录 - 一、一纸公告，半个韩国 - 二、四年潜伏：入侵路径复盘 - 三、USIM里到底有什么 - 四、2300万张卡的搬家工程 - 五、1348亿韩元罚单是怎么算出来的 - 六、争议：鉴权键没丢，为什么还要全民众筹换卡 - 七、给核心网同行的七条教训 - 八、结语 ## 一、一纸公告，半个韩国 2025年4月22日，SKT对外确认：其内部服务器检测到恶意代码，部分USIM相关用户数据疑似外泄。最初披露口径是“部分用户”，随后核查范围一步步扩大，最终监管认定波及LTE/5G及MFN（预付类）在内的2320万用户，占韩国移动市场的半壁江山。 泄露的不是普通资料。据PIPC调查，共25类信息外传，包括电话号码、IMSI（国际移动用户识别码）等USIM核心标识。4月28日，SKT宣布为全部用户免费更换USIM，韩国媒介称之为“史上最大规模的换卡行动”。5月19日，韩国国家情报院（NIS）与KISA的联合调查通报又抛出新信息：攻击者自2021年8月起就已在SKT内网活动——这不是一次得手就跑的快攻，而是一场潜伏近四年的渗透。 ## 二、四年潜伏：入侵路径复盘 把PIPC处罚决定和韩联社披露的调查结论拼起来，攻击路径大致如下： ```mermaid flowchart TD A["互联网边界"] --> B["内部管理服务器"] B --> C["HSS/UDR 核心用户库"] C --> D["9.82GB 用户数据打包外传"] D --> E["新加坡跳板中转"] F["老旧OS：2016年上线未打补丁"] --> B G["2610万条鉴权键明文存储"] --> C H["内外网互联且无访问控制"] --> B ``` 几个关键节点值得逐条看： **潜伏期布点。** 据韩联社援引PIPC调查，攻击者分别于2021年8月、2022年6月两次在内网植入恶意代码，KISA事后共鉴别出9种恶意软件。2022年2月，SKT其实已经发现存储用户信息的HSS被访问过，但**没有做任何检查**——这成为PIPC认定其“安全管理深度不足”的核心证据之一。 **横向移动畅通无阻。** PIPC的表述非常直白：SKT把互联网、管理网和内部网络挂在同一套系统上，外部访问内部管理服务器没有任何限制，而管理服务器又与HSS“不必要地连接”，黑客由此直达HSS提取数据。用我们网管值班时的行话说：三层网络规划图上画得漂漂亮亮，实际拉通一看，管理平面和核心数据平面之间是笔直的高速公路。 **老旧系统裸奔。** 涉事服务器2016年11月安装了一个存在已知安全漏洞的操作系统，直到2025年4月数据外泄，近九年没打过一次安全更新。任何做过漏洞扫描的工程师都知道这意味着什么：扫描报告年年报红，年年没人闭环。 **数据出口没设防。** 4月18日，9.82GB数据被打包外传。据PIPC主席高鹤洙在记者会上透露，数据曾途经新加坡中转。韩国时报报道，情报部门后来在新加坡、菲律宾、中国香港、中国澳门、印尼等地的漫游枢纽观测到可疑的鉴权尝试，甚至建议民众赴上述地区时随身携带手机、或提前申请停用USIM。出口通道上没有DLP、没有流量基线告警，是这起事件最刺眼的短板。 需要说明的是，攻击者身份至今没有官方结论，韩媒曾有多方推测，但均未经证实。 ## 三、USIM里到底有什么 给非无线专业的读者补个课。USIM是写在卡里的智能卡应用，核心是三样东西：IMSI（用户身份标识）、Ki（128比特根密钥）、OPc（运营商变体参数）。每次开机驻留，网络下发RAND等鉴权五元组，USIM用Ki+OPc跑MILENAGE算法算出响应RES*和各层派生密钥；5G SA下再由这些根派生K_AUSF、K_SEAF等一整条密钥链（3GPP TS 33.501）。设计上，Ki永远不会离开卡片，也永远不应该离开HSS/AuC的加密存储。 这次泄露清单里最敏感的就是这些字段的组合。PIPC特别指出：SKT在HSS中以**明文存储了2610万条USIM鉴权键**，一旦被窃，理论上可以直接算出任意用户的鉴权响应——等于拿到了克隆卡的原料，短信验证码、来电都可能被接管。各厂家HSS/UDR的密钥存储形态各异，标准允许多种实现，具体行为以各厂家官方文档为准，但“明文存Ki”在任何审计框架下都是过不去的红线。 | 泄露内容 | 技术含义 | 被利用的典型手法 | | --- | --- | --- | | 电话号码 | 精准定位到人 | 定向钓鱼短信、社工话术 | | IMSI | 用户在网唯一标识 | 追踪行踪、伪基站靶向诱骗 | | USIM相关标识（25类） | 拼出用户网络画像 | 辅助SIM swap社工攻击 | | 鉴权键（明文存于HSS） | 可离线计算鉴权响应 | 克隆卡、接管OTP（本次未见外传证据） | 顺带说一个工程师才懂的讽刺：5G空口用SUCI对SUPI做了加密 concealed，隐私保护做到了天线口；结果后端HSS的库是裸的。空口加密再漂亮，也挡不住存密钥的地方不设防。 ## 四、2300万张卡的搬家工程 4月28日换卡启动，头两天约28万用户完成换卡（韩国先驱报数据），门店大排长龙，随后出现USIM缺货——2300万张的量，卡商产能也得爬坡。SKT动用了约2655台无人自助领取机分流，eSIM线上办理同步放开，支持eSIM的机型超过1500款。海外用户的处理更复杂，4月底SKT开通海外换卡与漫游保护通道；据韩国时报统计，截至4月底已有超过4.1万海外用户申请销毁原卡。 | 换卡方式 | 渠道 | 时效 | 备注 | | --- | --- | --- | --- | | 门店/代理换卡 | 全网门店 | 即办即用 | 首日排队严重，出现缺货 | | 无人自助领取机 | 约2655台终端 | 数分钟 | 认证后领取，缓解排队 | | eSIM线上换发 | 官方App | 最快即时 | 机型门槛，客观上加速了eSIM普及 | | 海外用户通道 | 远程+当地渠道 | 数日 | 同步推漫游鉴权保护 | ```mermaid timeline title SKT泄密事件全景时间线 section 伏笔 2016年11月 : 带漏洞的操作系统上线且长期不更新 2021年8月 : 攻击者首次在内网植入恶意代码 2022年2月 : 发现HSS被访问但未做检查 2022年6月 : 再次植入恶意代码 section 爆发 2025年4月18日 : 9.82GB数据经新加坡中转外传 2025年4月19日 : 检测到异常流量 2025年4月22日 : 对外披露并启动调查 section 处置 2025年4月28日 : 全网免费换USIM启动 两天约28万张 2025年5月5日 : 发布5000亿韩元客户回馈方案 2025年5月19日 : 国政院通报 鉴权键未见外传 section 追责 2025年8月28日 : PIPC开出1348亿韩元史上最大罚单 2025年9月 : SKT表示将提起行政诉讼 ``` 代价不只是换卡。4月28日至5月5日一周内，245万SKT用户携号转网流向竞争对手（韩国时报数据）。5月5日，SKT发布5000亿韩元“客户感谢套餐”：8月通信费五折、放弃2025年营收目标、对查实损失用户每人赔付500万韩元（6月已向首批40人支付共4亿韩元），并被监管要求豁免用户违约金。据韩联社报道，8月底已有6461名用户提起集体诉讼，索赔总额约52.4亿韩元。 ## 五、1348亿韩元罚单是怎么算出来的 8月28日，韩国个人信息保护委员会（PIPC）对SKT处以1348亿韩元（约9690万美元）罚款，外加960万韩元过怠金，并责令整改：强化个人信息处理安全措施、改组治理结构由首席隐私官统筹全司数据管理。这是PIPC自2020年成立以来的最大罚单。 | 主体 | 罚单 | 时间 | 事由 | | --- | --- | --- | --- | | SKT | 1348亿韩元（约9700万美元） | 2025年8月 | USIM数据泄露 | | Google | 692亿韩元（约5000万美元） | 2022年 | 未经同意收集用户数据 | | LG U+ | 68亿韩元（约490万美元） | 2023年 | 约30万用户数据泄露 | SKT这张罚单约为LG U+此前纪录的20倍。法律背景是：韩国2023年修订、2025年生效的《个人信息保护法》将罚款上限提高到企业相关营收的3%。SKT无线业务年营收约12.8万亿韩元，业界原本按上限估算可能罚到3000多亿韩元，最终落点是1348亿——重罚，但没顶格。SKT表示将研究书面决定后提起行政诉讼，法定程序上收到书面决定后有90天申诉期。 PIPC主席高鹤洙在记者会上说了一句值得所有CFO听的话：处理大量个人信息的企业，应把个人信息保护预算当作必要投资。PIPC还计划9月发布个人信息保护强化对策。雪上加霜的是，据韩国媒体报道，7月KT与LG U+又接连通报了经由代理渠道、漫游认证环节的小规模泄露事件——韩国移动三家的安全体系被放在放大镜下轮流检视。 ## 六、争议：鉴权键没丢，为什么还要全民众筹换卡 这里有一个必须分清楚的技术口径问题。 5月19日NIS与KISA的联合调查结论是：外传的9.82GB数据中**不含鉴权键（Ki）**，恶意代码未执行额外窃取任务，国际机构评估后认为数据再外泄可能性低。而PIPC的处罚认定则强调2610万条鉴权键**明文存储**、泄露信息中包含SIM鉴权相关数据——两个部门的表述存在温差：一个说的是“实际偷走的东西”，一个说的是“你让人能偷到的东西”。 从运维视角看，全民众筹换卡恰恰是理性的：其一，2320万人无法逐一定制风险结论，“查实才换”的时间窗里任何一张被克隆的卡都是灾难；其二，换卡成本虽高，但SKT已经在为信任危机买单，245万用户出逃比2300万张空白卡贵得多；其三，强制换卡客观上完成了一次全国规模的密钥轮换——不管旧库里的东西到底泄没泄，新卡新钥，攻击者手里的存量作废。这是电信行业第一次把“密钥轮换”做到全国人口尺度，代价是一堂昂贵的公开课：**密钥资产的保密性失效是不可逆事件，唯一能兜底的方案只有提前换发基础设施**。 ## 七、给核心网同行的七条教训 1. **域隔离别只画在PPT上。** 管理平面与HSS/UDR之间的每一条连接都要回答“为什么存在”。PIPC点名的“不必要连接”，就是平时为了排障方便留下的后门。 2. **鉴权键进HSM、加密存储、访问留痕。** 明文库配上宽权限，等于把全用户的信任押在一个服务器的安全组策略上。 3. **老旧OS补丁闭环要有制度抓手。** 一台2016年没打过补丁的服务器，暴露的不是技术问题，是漏洞工单流转到“低优先级”就死掉的流程问题。 4. **出口通道设白名单和流量基线。** 9.82GB经新加坡外传，说明数据出口既没有DLP，也没有“核心库到公网方向”的异常量告警。东西向流量监控应覆盖核心网元。 5. **事件通报要演练。** 韩国监管认定SKT存在迟报，另处罚款。4小时内核实范围、对外口径、换卡预案，应该在演练里跑过，而不是第一次跑在真实事故里。 6. **把eSIM/RSP就绪度当作韧性指标。** 这次eSIM线上换发是唯一不排队的通道，也意外加速了eSIM普及。紧急换发能力应纳入网络应急预案，与备件、割接预案同级管理。 7. **赔偿预案与信任修复要一次给足。** 5000亿韩元套餐、五折月费、豁免违约金、每人最高500万韩元赔付——处置拖泥带水的隐形成本，是245万用户用脚投票。 ## 八、结语 这起事件里没有惊天动地的零日漏洞：进来的路是没隔离的内网，偷走的数据躺在明文库，外传的流量走了没设防的出口。1348亿韩元罚单罚的不是一个黑客，而是一套把“核心网很安全”当成默认假设的运维惯性。对每天跟HSS、UDR、鉴权向量打交道的工程师来说，真正的启示朴素得近乎无聊：把Ki当成这个网络里最值钱的东西来管，把每一次跨域连接当成潜在攻击路径来审。2300万张换掉的USIM，就是这句废话的标价。 ## 参考来源 1. [SKT fined $97M over data breach — Light Reading](https://www.lightreading.com/regulatory-politics/privacy-watchdog-hits-skt-with-record-97m-fine-over-data-breach) — PIPC处罚细节、罚单构成、历史罚单对比 2. [(LEAD) SK Telecom fined record 135 billion won over major data breach — Yonhap](https://en.yna.co.kr/view/AEN20250828005051315) — 韩联社对PIPC处罚决定与四年潜伏调查结论的完整报道 3. [280,000 SKT users replace USIM chips — The Korea Herald](https://www.koreaherald.com/article/10477090) — 换卡行动初期数据 4. [SKT's customer protection promise undermined by USIM shortage — The Korea Times](https://www.koreatimes.co.kr/business/tech-science/20250429/skts-customer-protection-promise-undermined-by-usim-shortage) — 换卡缺货、自助机投放与用户流失数据 5. [Stolen SKT info believed routed through Singapore — The Korea Times](https://www.koreatimes.co.kr/national/sk-telecom-data-leak-stolen-info-believed-routed-through-singapore) — 数据外传路径与漫游枢纽风险提示 6. [SK Telecom takes full responsibility amid USIM hacking fallout — Light Reading](https://www.lightreading.com/security/skt-takes-full-responsibility-amid-usim-hacking-fallout) — 事件初期SKT的处置承诺与责任表态 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。