.양주매입 조사단은 1차 조사에서 IMEI가 유출된 정황이 없다고 밝혔지만 추가 조사를 진행한 뒤 내린 2차 결론에서 악성코드에 감염된 서버에 IMEI 29만여건이 저장돼 있었다고 밝혔다. SK텔레콤은 여러 모니터링 체계 정보를 종합했을 때 이 정보가 유출되지 않았다는 입장이지만 조사단은 유출 가능성을 배제하지 않고 있다. 이번 사태 배경에 SK텔레콤의 중대한 고의나 과실이 있는지도 관건이다. 현재까지는 SK텔레콤이 현행법이나 보안 규정을 어겼다는 뚜렷한 물증이 나오지 않았다. 유심 정보 비암호화, 서버 로그 기록 장기보존 실패, 보안 비용 과소 투자 등이 피해를 키웠다는 지적이 있지만 법적 의무를 어긴 건 아니다. 특히 비밀번호나 주민등록번호와 달리 유심 정보는 개인정보보호법상 암호화 의무 대상에 포함되지 않는다.