概述

2025年4月18日夜里，韩国最大运营商SK电讯（SKT）在核心网服务器上发现异常大流量外传——追查下去，挖出了一场潜伏近四年的APT入侵：攻击者从2021年8月起层层渗透，最终将2696万条含IMSI与USIM认证密钥的数据（9.82GB）打包带走，2300余万用户被迫免费换卡。本文以韩国科学技术信息通信部（MSIT）官网公布的官民联合调查最终报告（msit.go.kr）与韩联社对监管罚单的报道（en.yna.co.kr）为主轴，完整还原攻击链、复盘根因、拆解那张1348亿韩元的罚单，并回答一个所有核心网工程师都该想的问题：为什么一条明文口令，能让一个国家一半手机用户排队换卡？

目录

• 一张卡里最值钱的东西：Ki
• 潜伏四年：攻击链完整还原
• 事发十日：从流量异动到全网换卡
• 泄露了什么，怕的是什么
• 天价罚单与免违约金判决
• 十条教训：写进运维手册的话
• 结语：核心网的皇冠，最怕旧钥匙

一张卡里最值钱的东西：Ki

要理解这次事故为什么严重，得先回到USIM卡的物理结构。一张UICC芯片上的USIM应用里，最核心的机密是两样东西：IMSI（国际移动用户识别码，相当于你在这张网里的“户口号”）和Ki（128位的根认证密钥，相当于“私钥”）。Ki在制卡写卡阶段一次性写入，终身不出卡。

网络的认证靠AKA（认证与密钥协商）完成：手机入网时，网络侧的HLR/HSS/认证中心用存档的Ki副本对随机数RAND做同样的运算，生成挑战发给卡；卡用卡内Ki算出应答RES。两边对上了，才派发会话密钥。整套机制的信任根就是一条：Ki只在卡内和运营商核心网的认证节点里存在，别处一律没有。

所以“USIM数据泄露”不是一般的个人信息泄露。IMSI+Ki+算法三者齐备，攻击者拿一张可编程空白卡就能烧制出你的克隆卡：你的号码能被用来收短信验证码、接打电话，短信OTP、短信二次验证形同虚设。这也是为什么韩国政府把此事定性为“违反电信合同主给付义务”——运营商卖的不只是连接，是“只有你能用这个号码”的承诺。

顺带说一句，5G的SUCI加密（用户永久标识加密上报，3GPP TS 33.501定义）防的是空口侦听IMSI，防不了核心网里Ki副本被盗。信任根一旦从里面丢掉，空口再花哨也没用。

潜伏四年：攻击链完整还原

MSIT官民联合调查组从2025年4月23日到6月27日，把SKT全网42605台服务器全部扫了一遍，确认28台感染，共清理33个恶意代码样本：27个BPFDoor、3个TinyShell、1个WebShell，外加CrossC2和Sliver两个开源C2框架。调查组重建的攻击路径如下：

flowchart TD
    A["服务器A<br/>互联网侧管理网段"] -->|2021年8月<br/>植入CrossC2后门| B["服务器B<br/>明文存着管理口令"]
    B -->|凭据复用登录| C["HSS管理服务器"]
    C -->|植入BPFDoor| D["HSS认证节点群<br/>存有IMSI与Ki"]
    B --> E["客户管理网段<br/>2022年6月攻入"]
    E -->|部署WebShell| F["扩大驻留据点"]
    D --> G["2025年4月18日<br/>压缩9.82GB数据"]
    G --> H["服务器C<br/>唯一保留外网出口"]
    H --> I["数据外传出境"]

这张图里每一步的细节，都值得反复看：

第一跳（2021年8月6日）：攻击者拿下互联网侧系统管理网段的服务器A，装上CrossC2后门。致命的是，服务器A上以明文存着同网段其他主机的ID和口令——ISMS认证指南明令禁止这种做法。攻击者照单全收，登进了服务器B。

第二跳（2021年12月24日）：服务器B上又明文存着HSS管理服务器的管理员口令。攻击者用它登入HSS管理服务器，随后到2022年1月1日之间，把BPFDoor植入了HSS管理节点和语音认证HSS节点。核心网的心脏，被摸了。

第三跳（2022年6月）：从系统管理网段横向跳到客户管理网段，部署WebShell和新的BPFDoor载荷，网络流记录证实了这两天的横向流量。

长期驻留（2023年11月30日至2025年4月21日）：因为管理口令永不过期、多年不换，攻击者隔三差五就能重新登回来，更新马、扩据点。门钥匙一直在别人手里，只是主人没换锁。

收网（2025年4月18日）：攻击者用那套长寿凭据登入三台HSS节点，把9.82GB的USIM数据（约2696万条IMSI记录，共25类数据）打包压缩，经唯一保留互联网出口的服务器C传出境外。

BPFDoor这个名字值得单独记一笔：它利用Linux内核的BPF挂载实现“无端口”后门，通信不占监听端口、流量藏在合法协议里，基于特征匹配的IDS/NDR基本失明。事后韩方在防护门户BohoNara发布的排查指南浏览量近13万次——全网都在补这一课。

用一张时间线看全程：

timeline
    title SKT入侵事件四年纪
    2021年 : 8月拿下服务器A : 12月摸进HSS管理网
    2022年 : 2月排查漏掉关键日志 : 6月攻入客户管理网段
    2023年 : 11月起凭据永不过期 : 攻击者定期回访续命
    2025年4月 : 18日夜数据外传 : 20日超时上报 : 28日官宣换卡
    2025年下半年 : 全网扫描收尾 : 8月天价罚单落地
    2026年 : 1月SKT提起行政诉讼 : 追责与整改并行

事发十日：从流量异动到全网换卡

这里有两个运维层面的细节，比股价更扎心。

其一，24小时上报时限。2024年8月14日起《信息通信网法》就要求事件24小时内上报，SKT从发现到上报用了约41小时。按同法第76条，迟报可处最高3000万韩元行政罚款——后来也确实吃了这张小额罚单。发现异常的第一反应应当包含“这同时是一个法定动作”。

其二，数据保全。4月21日17:42收到保全令，19:52就有两台服务器被改动，取证无法成像。这一条已被移送刑事程序，最高可判两年有期徒刑或2000万韩元罚金。安全团队和运维团队之间的“先恢复业务还是先留证据”之争，在这份报告里有了官方答案：保全令生效之后，动服务器就是犯罪。

泄露了什么，怕的是什么

对普通用户，风险排期大概是：短期内是垃圾短信和钓鱼激增（号码+姓名+生日在手，话术可以非常准）；中期是克隆卡导致的短信验证码劫持——金融账户、政务认证全走短信的国家，这个风险逼着全民换卡；长期则是这批数据在任何黑产市场都长期有效，Ki不会过期。

SKT其实早有对冲产品：2023年11月上线的“USIM保护服务”可以阻止克隆卡入网，但到事发时2300万用户里只有约5万人订阅。默认关闭的安全功能，等于没有。

天价罚单与免违约金判决

处罚是多线并进的，力度在韩国史上都是空前的：

• 个保委（PIPC）罚单：2025年8月28日宣布，就2300余万用户25类个人信息泄露，对SKT处以1348亿韩元（约9690万美元）罚款——这是PIPC自2020年成立以来的最高罚单。调查认定：2022年2月发现黑客触碰HSS服务器后未做检查、服务器个人信息无需认证即可访问、2016年11月安装的操作系统直到泄露发生都未做过安全更新。同时责令整改治理结构，让首席隐私官统管全公司个人信息事务，并附加960万韩元课征金。
• 政府免违约金裁定：MSIT依据两轮外部法律意见认定：SKT存在过失，且泄露USIM数据构成“违反安全提供电信服务的主合同义务”，因此用户依据SKT约款第43条解约可免违约金。换卡潮之外，又添了一道流失闸门。
• 科技部（MSIT）行政罚：迟报与两台TinyShell感染服务器漏报，按《信息通信网法》处以3000万韩元行政罚款；改动涉案服务器一事移送刑事调查。
• 后续：2026年1月19日，SKT向首尔行政法院提起行政诉讼，要求撤销1348亿韩元罚单（据《首尔经济》《Digital Today》报道）。据韩媒报道，PIPC随后对其他运营商的数据泄露案件也开出了相当于SKT罚单约四成的罚单，监管尺度已经立起来了。

商业代价同样惊人：免费换卡数千万张、停新装50天、话费减免与手机购机补贴（据韩媒报道合计成本达数千亿韩元规模）、股价单日跌8.5%、集体诉讼——罚单1348亿只是账面最大的一笔，远不是最贵的一笔。

十条教训：写进运维手册的话

这份官方报告最有价值的地方，是它把一家顶级运营商的核心网安全问题拆到了能直接抄作业的颗粒度。逐条过：

1. 明文口令是死刑判决书。服务器A、服务器B、HSS管理服务器，一路全是明文凭据。特权凭据必须进保险库（vault）+多因子，这是第一道也是最便宜的一道闸。
2. 口令永不过期，等于后门常开。2023年11月到2025年4月，攻击者就是靠一套不过期的老凭据反复回来续命。轮换策略不落实，检测做得再好也堵不住“用钥匙进门的贼”。
3. 一次未完成的排查，赌上了三年。2022年2月那次异常重启，SKT清了马、却只看了六份日志里的一份，恰好漏掉HSS管理服务器上的入侵痕迹，还漏报了事件。异常处置必须做到根因闭环，而不是“清完病毒就结案”。
4. 日志留存期就是你的记忆力。规定存6个月，实际只存4个月，直接导致IMEI和CDR两个时间段“无法排除泄露”——对一个国家半数用户，这是永远还不清的疑罪。集中日志平台，留存期取法定上限。
5. 认识你的敌人：无端口后门。BPFDoor靠内核BPF实现无监听端口、加密回连（udp/53、tcp/443反连）。特征检测看不见它，得上行为检测、内存执行检测（如/dev/shm异常加载）和eBPF层面的流量分析。
6. Ki必须加密存储。MSIT报告明确指出：Ki明文存储违反GSMA建议，也不符合KT、LG U+等同业实践。认证中心的密钥存取要审计到每一次调用。
7. 供应链软件要过闸。承包商交付的软件未经筛查装上了88台服务器，里面带着休眠恶意代码。第三方软件入库前必须做静态与沙箱检查。
8. CISO要管到全网。SKT的安全负责人只覆盖IT域（57%资产），网络域（43%）另有人管。《信息通信网法》第45-3条要求CISO统管一切——组织图上的一虚线，事故时就是一片盲区。
9. 安全投入要跟人手对表。按每百万用户计，SKT安全人员15人、投入37.9亿韩元，行业均值17.7人、57.4亿韩元。 regulator把这种对比写进了官方报告——下一次，董事会汇报安全预算时可以引用。
10. 把“24小时”刻进值班手册。发现即上报，不是信任问题，是法定动作；保全令之后先取证、后处置。流程要预演，别等4月的那个深夜。

还有一条给用户侧的：换卡之外，重置重要账户的二次验证、警惕短信链接，是这次事件里韩国全社会补的公共课。标准允许多种技术实现，具体行为以各厂家官方文档为准，但“USIM类根密钥的泄露只能靠换卡兜底”这一点，全行业没有分歧——这也是eSIM远程重写的隐性优势所在，事件后韩国三大运营商的eSIM自助开通明显提速（据韩媒报道）。

结语：核心网的皇冠，最怕旧钥匙

复盘整条攻击链，你会发现没有一步是“高级”的：一个CrossC2开源框架、一份明文口令清单、一套永不过期的凭据、一次只看六分之一的排查。攻击者唯一做的对的事，是比防御者更有耐心——潜伏四年，等一个深夜把9.82GB打包带走。

核心网工程师圈子里常说，HLR/HSS是整张网的皇冠。这起案件给出了皇冠的守则：钥匙要进保险柜、要定期换、每次开锁留记录；皇冠房间的每一个门缝都要有人看；出了事，先报警、再封场。SKT用1348亿韩元罚单、数千亿韩元安抚成本和半个国家的换卡队伍，替全行业把这些规则重新交了一遍学费。这张学费单，值得打印出来贴在每一个核心网机房的门口。

参考来源

1. MSIT：SKT网络安全事故官民联合调查最终结果（英文版新闻稿） — 攻击链重建、28台感染服务器、33个恶意样本、根因与整改的官方权威版本，本文主轴来源
2. 韩联社：SK Telecom fined record 135 billion won over major data breach — PIPC史上最高罚单1348亿韩元的细节与认定理由
3. Korea Herald：SK Telecom scrambles to restore trust after massive data breach — 事发初期约9.7GB泄露规模与舆论反应
4. PLURA安全博客：Comprehensive Summary of the SKT USIM Hacking Incident — BPFDoor无端口后门的技术分析与NDR检测盲区
5. 首尔经济日报英文版：SK Telecom Files Lawsuit Against 134.8 Billion Won Fine — SKT就罚单提起行政诉讼与泄露数据认定（2324万人）

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。