심 스와핑(SIM Swapping): 2FA가 완벽한 요새가 아닌 이유

암호화폐 투자자이자 사업가인 마이클 터핀(Michael Terpin)에게 무언가 심각하게 잘못되었다는 첫 번째 징후는 수백만 달러 규모의 암호화폐 자산이 사라진 것이 아니라, 문자 메시지를 보내거나 받을 수 없게 된 것이었습니다.

일반적인 사람에게 휴대폰으로 SMS를 주고받지 못한다는 사실이 재정적 파멸의 전조가 되기는 어렵습니다. 그러나 터핀에게는 겉보기에 대수롭지 않아 보이던 이 사건이 비극의 시작이었습니다. 문제는 번호 그 자체였습니다. 일상적인 업무, 계정 복구, 다중 인증(MFA)을 위해 사용하던 휴대폰 번호가 아무런 예고도 없이 그의 소유가 아니게 되어버린 것입니다.

더 정확히 말하자면, 그 번호는 다른 사람의 소유가 되었습니다. 상대적으로 손쉽게 그의 SIM 카드에서 번호를 분리해 자신들의 SIM 카드에 등록한 사기꾼들의 손에 넘어간 것입니다. 번호에 대한 완전한 통제권을 확보한 사기꾼들은 터핀의 계정 복구 시도를 차단하고 통신사 웹사이트에 등록된 복구용 이메일을 자신들의 이메일로 변경한 뒤, 결국 그의 암호화폐 지갑에서 2,400만 달러 이상을 훔쳐 달아났습니다. 이 거대한 규모의 절도 사건으로 한 십 대 청소년이 감옥에 수감되었습니다. 주범으로 지목된 15세의 엘리스 핀스키(Ellis Pinsky)는 심 스와핑을 통해 암호화폐 지갑에서 자금을 갈취하는 범죄 조직을 이끈 혐의로 기소되었습니다. 피고인 중에는 이 사건이 세간의 큰 주목을 받게 만드는 데 결정적 역할을 했던 니콜라스 트루글리아(Nicholas Truglia)도 포함되어 있었습니다.

법원 기록에 따르면 핀스키와 그의 공범들은 AT&T 공인 대리점 직원인 자밀 스미스(Jahmil Smith)를 매수하여 사기꾼들에게 유리하도록 터핀의 SIM 카드를 변경한 것으로 드러났습니다. 이처럼 비교적 단순하지만 효과적인 사기 수법으로 암호화폐 투자자들은 수백만 달러의 현금을 잃었고, 역사상 처음으로 이동통신사가 심 스와핑 문제로 고객과 소송전을 벌이게 되었습니다. 재판 초기 단계 이후 핀스키는 터핀에게 2,200만 달러의 손해배상금을 지급하기로 합의했습니다. 터핀은 AT&T를 상대로 한 소송에서도 승기를 잡았습니다. 막대한 금액의 지불을 피하려던 AT&T 측은 통신사에 암호화폐 자산을 맡긴 터핀에게 과실이 있다고 주장했으나, 2024년 제9순회항소법원은 AT&T를 상대로 한 터핀의 항소에서 터핀의 손을 들어주며 새로운 법적 공방의 길을 열었습니다.

한편, 일반적인 암호화폐 보유자에게 마이클 터핀의 사례는 블록체인의 가장 취약한 연결 고리인 '거래소 계정'의 취약점을 분석하고 교훈을 얻을 수 있는 연구 대상입니다. 터핀의 계정이 해킹된 것은 블록체인 자체의 취약점 때문이 아니라 사기꾼들을 상대로 기존의 다중 인증 방식이 무력했기 때문입니다. 오히려 사기꾼들은 사회공학적 기법과 전화번호 스와핑이라는 지극히 일상적인 방법을 이용해 거래소에 접근하고, 번호 "도난"에 대해 고객을 속인 뒤 궁극적으로 계정을 털어갔습니다.

이러한 사기가 암호화폐 보유자에게 치명적인 이유는 일반적으로 다단계로 진행되기 때문입니다. 사기꾼들은 암호화폐 자산을 훔칠 뿐만 아니라 고객의 (대체로 부실한) 계정 복구 정책을 악용해 거래소에 무단으로 접근합니다. 게다가 피해자는 피싱, 신원 도용, 개인정보 사기 등의 피해까지 겪을 수 있습니다.

암호화폐 보유자가 보안 수준과 계정 복구 탄력성을 높이기 위한 조치를 취한다면 이러한 시나리오는 방지할 수 있습니다. 가장 합리적인 조치는 가능할 때마다 SMS 다중 인증(MFA)을 배제하고 인증 앱과 같은 보다 신뢰할 수 있는 다른 수단으로 전환하는 것입니다. 아울러 이동통신사에서 복잡하고 검증된 절차 없이는 SIM 카드 번호가 변경되지 않도록 확실히 조치해야 합니다.

무엇보다도 계정 복구 절차에서 SMS를 제외하거나 최소한 모든 계정 설정 및 복구 절차를 보다 안전한 다른 채널로 이전해야 합니다. 마지막으로 개인정보나 개인키(Private Key)가 클라우드와 같이 취약한 장소에 저장되지 않도록 철저히 관리해야 합니다. 심 스와핑 상황에서 SMS MFA가 무용지물이 되는 이유는 기술적으로 전화번호가 이미 사기꾼의 소유가 되었기 때문입니다. 따라서 해당 번호로 발송된 SMS 메시지는 사기꾼이 수신하게 되며, 전송된 모든 인증 코드는 사기꾼의 이익을 위해 사용됩니다. 결국 블록체인 지갑이나 거래소 계정에 SMS 기반 MFA가 설정되어 있더라도, 사기꾼이 통신사를 속여 자신이 번호의 소유주임을 납득시킬 수만 있다면 보안에는 아무런 도움이 되지 않습니다.

그리고 전 세계 대부분의 이동통신사에서 번호 변경 절차가 비교적 단순하다는 점이 이를 가능하게 합니다. SMS MFA가 계정을 무조건 더 취약하게 만든다고 단정할 수는 없지만, 계정 보안 측면에서 SMS가 가장 취약한 수단 중 하나라는 점은 부인할 수 없는 사실입니다.

이는 SMS 채널 자체의 보안 수준이 상대적으로 낮은 탓도 있지만, 사기꾼들이 사회공학 기법을 사용하여 번호에 대한 접근 권한을 얻어낼 수 있기 때문이기도 합니다. 결국 SMS MFA는 사용자에게 편리하지만 높은 사기 위험을 동반하며, 터핀의 사례가 이를 여실히 보여줍니다.

전화번호 스와핑 사기로 실제로 이득을 본 자는 누구인가?

심 스와핑을 통한 SMS 기반 계정 탈취 사례를 분석할 때, 이러한 사기의 복잡성을 과대평가하지 않는 것이 중요합니다. 이동통신사가 보안 시스템에서 취약한 지점인 것은 사실이지만, 사기꾼들은 사기를 성공시키기 위해 다른 약점들도 함께 파고드는 경우가 많습니다.

가장 흔한 수법은 피싱을 통해 피해자의 개인정보를 탈취하는 것입니다. 계정 복구 이메일, SMS 번호, 이름, 생년월일, 주민등록번호(또는 사회보장번호)의 일부 등과 같은 정보는 피싱을 통하거나 드물게는 소셜 미디어 계정 해킹을 통해 입수할 수 있습니다.

그 후 사기꾼들은 이 정보를 이용해 이동통신사에 연락한 뒤 사회공학 기법을 구사하여 자신들이 해당 번호의 새로운 소유자라고 믿게 만듭니다. 그 방법은 다양합니다. 그럴듯한 이야기를 지어내 이상 징후 탐지 시스템을 우회하거나, 이러한 업무를 담당하는 통신사 직원을 매수하거나, 회사 내부자의 정보를 악용하는 것입니다. 사기꾼이 번호의 통제권을 확보하고 나면, 다음 단계는 계정 복구 설정을 변경하여 계정에 대한 완전한 권한을 얻는 것입니다. 계정 탈취는 사기꾼이 행동을 얼마나 교묘하게 위장하는지, 계정의 보안 수준이 얼마나 높은지에 따라 보통 몇 시간에서 며칠 이내에 완료됩니다. 이처럼 노련함과 기지를 발휘한 사기꾼들은 암호화폐뿐만 아니라 개인정보와 은행 계좌의 돈까지 가로챌 수 있습니다.

그러나 겉보기에 단순해 보이는 구조와 달리 심 스와핑 사기에는 상당한 수준의 사전 준비와 개인적 기술이 필요합니다. 따라서 이는 어설픈 아마추어 사기꾼이 아닌 조직화된 범죄 집단에 의해 자행되는 것이 일반적입니다.

이 분야에서 가장 악명 높은 사이버 범죄 조직 중 하나는 0ktapus, UNC3944, Muddled Libra로도 알려진 스캐터드 스파이더(Scattered Spider)입니다. 여러 보고서에 따르면 이 조직은 영어를 구사하는 독립적이지만 긴밀히 연계된 사회공학 전문가 및 해커들로 구성되어 있습니다. 이들은 전 세계를 무대로 활동하며, 주된 표적은 대기업으로 직원 대상 피싱 공격을 통해 시스템을 침투하는 경우가 많습니다.

하지만 이 조직의 구성원들이 사용하는 수법의 기본 원리 자체가 완전히 독창적인 것은 아닙니다. 킹 밥(King Bob) 또는 소사(Sosa)라는 가명으로도 알려진 조직원 노아 마이클 어반(Noah Michael Urban)은 이미 여러 대기업과 개인을 대상으로 사기를 친 혐의로 유죄 판결을 받았습니다. 미국 법원 문서에 명시된 바에 따르면, 그는 심 스와핑과 피싱을 사용해 피해자의 거래소 계정에 무단으로 접근하고 암호화폐를 훔쳤습니다. 어반의 범죄 행위에는 피해자의 이메일과 SMS 가로채기, 지갑에서 사기꾼이 관리하는 계정으로 자금 이체, 도용한 신원을 이용한 거액 송금 등이 포함되어 있었습니다. 그 결과 그는 징역 10년형과 함께 1,300만 달러 이상의 손해배상금 지급 판결을 받았습니다. 하지만 중요한 것은 그의 형량이나 사기 행위 자체가 아니라, 심 스와핑 사기꾼들의 구체적인 작업 방식에 대한 그의 공개적인 증언입니다.

어반에 따르면 피해자의 번호를 장악하기 위해 사기꾼들은 대개 통신사에 직접 연락합니다. 대부분의 경우 통신사를 속여 넘기기 위해 복잡한 기술을 쓰지도 않으며, 그저 그럴듯한 사연을 늘어놓으며 자신이 신원 도용의 피해자라고 주장할 뿐입니다. 그의 말에 따르면 통신사에 처음 전화를 건 시점부터 번호의 통제권을 완전히 장악하고 수십만 달러를 인출하기까지 약 10일밖에 걸리지 않았다고 합니다.

이 조직과 연계되어 대규모 사기 혐의로 기소된 또 다른 유명 해커는 타일러 로버트 뷰캐넌(Tyler Robert Buchanan)입니다. 스코틀랜드 출신의 이 청년은 전신 사기 공모 및 가중 신원 도용 혐의로 스페인에서 체포되었습니다. 검찰에 따르면 그는 기업을 대상으로 한 문자 메시지 피싱과 개인 피해자를 대상으로 한 심 스와핑을 활용하는 범죄 조직의 일원이었습니다. 이 수법을 통해 이들은 피해자들로부터 최소 800만 달러 상당의 가상화폐를 탈취했습니다. 또한 기업 임원의 이메일에 무단으로 침입한 증거도 발견되었습니다.

뷰캐넌의 체포는 사법 당국이 심 스와핑 사기에 점점 더 많은 주의를 기울이고 있음을 보여줍니다. 당국은 이러한 사기꾼들의 활동을 감시할 뿐만 아니라 법의 심판대에 올리고 있습니다. 뷰캐넌은 사기 행각에 가담한 혐의로 징역 5년형을 선고받았습니다.

그러나 이러한 사례에도 불구하고 사기 척결에 대한 경찰의 성과에 안주해서는 안 됩니다. 일부 사기꾼이 붙잡혔다고 해서 이동통신사나 거래소 플랫폼에 취약점이 없다는 뜻은 아닙니다. 오히려 사기꾼들이 여전히 이를 악용하고 있다는 사실 자체가 취약점의 존재를 증명합니다. 또한 사기꾼마다 능력과 기술이 제각기 다르다는 점을 염두에 두어야 합니다. 누군가는 피싱과 피해자 데이터의 면밀한 조사에 의존하는 반면, 다른 누군가는 다중 인증을 우회하거나 SMS 트래픽을 가로챌 수 있는 자원과 역량을 보유하고 있을 수 있습니다. 결과적으로 모든 피해자에게는 보안 시스템의 특정 약점을 정확하게 파고드는 사기꾼이 언제나 존재하기 마련입니다.

어떤 조치를 취할 수 있는가?

일반 사용자 수준의 계정 보안에 있어 절대 뚫리지 않는 완벽한 시스템이나 방어 기법이란 존재하지 않는다는 사실을 이해해야 합니다. 따라서 계정 보호를 위한 도구를 선택할 때는 주관적인 느낌이나 의견이 아니라 객관적인 평가와 분석에 의존해야 합니다.

SMS 기반 MFA에서 앱 기반 MFA로 전환하면 계정이 훨씬 더 안전해진다는 점에는 의심의 여지가 없습니다. 그러나 이러한 평가도 절대적이지는 않으며 사기꾼이 어떤 전술을 사용하는지에 따라 달라집니다. 따라서 상황마다 어떤 보안 조치를 적용할지, 어떤 복구 절차를 밟을지, 어떤 계정 관리 전략을 세울지 신중하게 고민해야 합니다.

SMS를 MFA 수단으로 계속 사용하고 SIM 카드 번호를 계정 복구 수단으로 유지하기 전에 고려해야 할 몇 가지 권장 사항은 다음과 같습니다:

가능한 경우 계정에 더 신뢰할 수 있는 인증 방법을 사용하여 SMS와 관련된 위험을 줄이세요. 지원되는 곳에서는 인증 앱(Authenticator)이나 하드웨어 보안 키를 사용하는 것이 좋습니다.

번호 도난을 방지하려면 통신사 계정에서 번호 이동 잠금(Number portability lock), 번호 잠금(Number lock) 또는 기타 고급 보안 설정을 활성화하세요.

이메일은 계정의 모든 열쇠가 되는 경우가 많으므로 이메일 보안을 위한 조치를 취하세요. 이메일과 중요 계정에 강력하고 고유한 비밀번호를 사용하고, 가능하면 하드웨어 보안 키나 인증 앱을 사용하세요. 특히 SMS를 기반으로 하는 계정 복구 절차의 보안에 유의해야 합니다. 비밀번호 찾기 복구용 이메일로 보조 계정이나 수년간 방치된 계정을 지정해 두는 것은 바람직하지 않습니다. 또한 개인정보의 접근성을 낮추는 것도 중요합니다(예: SMS를 통한 복구 키 요청 기능 제한).

블록체인 지갑의 개인키가 안전한 저장소에 보관되어 있는지 확인하세요. 거액의 자금을 보관할 때는 안전하고 검증된 지갑을 사용하고, 거래에 필요한 최소한의 금액만 비수탁형(non-custodial) 거래소 지갑에 두는 것이 바람직합니다.

대규모 거래 시에는 신뢰할 수 있는 수탁 업체만 이용하세요. 가능한 경우 출금 허용 목록(Allowlist), 지연 전송 및 다중 서명 출금 기능을 설정하세요. 24시간 또는 48시간 출금 지연 기능은 계정이 탈취되었을 때 매우 유용한 방어선이 될 수 있습니다.

표적이 될 가능성을 낮추세요. 사기꾼들의 눈에 띌 수 있는 소셜 네트워크나 기타 플랫폼에 지갑 잔고나 보유 자산 정보를 게시하지 마세요. 계정 보안 방식이나 거래 세부 사항(어떤 거래소나 지갑 서비스를 이용하는지 등)을 공개적으로 언급하지 마세요.

계정이 탈취되었을 때를 대비해 행동 요령을 미리 세워두세요. 여기에는 계정의 자금을 안전한 지갑으로 출금하기, 계정 복구 설정 변경, 통신사에 보안 위협 통보, 은행에 계좌 위협 신고, 신뢰할 수 있는 지인들에게 알리기 등이 포함됩니다.

이러한 조치들이 완벽한 방패가 되어주지는 못하더라도 사기 피해자가 될 확률과 사기로 입을 수 있는 피해를 크게 줄여줄 것입니다. 아울러 일상적으로 기술을 활용하는 데 있어서도 훨씬 더 편안하고 신뢰할 수 있는 환경을 만들어 줍니다.

벽에 난 균열: 요약

SMS MFA는 일반적으로 계정을 보호하는 상당히 신뢰할 수 있는 수단으로 간주되지만, 심 스와핑 사기는 이 보안 조치가 결코 완벽하지 않음을 명백히 보여줍니다. 통신사를 속여 피해자의 번호에 무제한으로 접근할 수 있는 비교적 단순한 공격 수법은 계정 자체의 보안뿐만 아니라 계정 복구 방식까지 함께 고민해야 함을 일깨워 줍니다.

계정을 복구하는 능력은 계정을 보호하는 능력만큼이나 중요하며, 보안 전략을 선택할 때는 두 가지 측면을 모두 고려해야 합니다. 계정 복구 및 사기꾼 차단 전략은 사기꾼이 파고들 만한 어떠한 허점도 남기지 않도록 설계되어야 합니다.

앞서 언급했듯이 일부 계정 보호 조치는 업계 표준 절차로 자리 잡고 있습니다. 예를 들어 이러한 서비스를 제공하는 대부분의 기업은 이제 사기 및 계정 탈취에 적시에 대응할 수 있는 정책을 갖추고 있습니다. 여기에는 번호 이동 잠금, 번호 잠금, SIM 카드 변경 지연, 보안 키 또는 하드웨어 보안 키를 통한 계정 복구 등이 포함됩니다. 또한 통신사와 암호화폐 거래소 모두 더 엄격한 SIM 카드 변경 확인 절차와 강화된 계정 보안 설정을 도입하는 등 사기 탐지 및 대응 메커니즘을 개선하기 위한 조치를 취하고 있습니다.

게다가 규제 당국도 번호 이동 사기와 관련된 위험을 줄이기 위한 단계적 조치를 취하고 있습니다. 미국 연방통신위원회(FCC)는 번호 이동 사기를 방지하고 소비자 보호를 강화하기 위한 새로운 규정을 채택했습니다. 이 규정에 따라 이동통신사는 SIM 변경 사기 탐지 절차를 구현하고, SIM 변경 또는 번호 이동 시도가 있을 때 소비자에게 통지하며, 계정 잠금 절차를 수립하고, 사기 대응 프로세스를 효율화해야 합니다.

한편, 통신사와 암호화폐 거래소 모두 고객 확인 제도(KYC) 및 자금세탁방지(AML) 프로토콜을 강화하고 있습니다. 이에 따라 통신사는 번호 이동 사기에 대해 한층 더 주의를 기울이고 있으며, 암호화폐 거래소는 계정 생성 및 해지 시 더욱 엄격한 본인 확인 정책을 적용하고 있습니다. 또한 기업들은 사용자의 행동 패턴 분석, 계정 특성 고려, 계정 해지 시 블록체인 거래 평가 등 계정 보호를 위해 더욱 발전된 기술을 적극적으로 활용하고 있습니다.

기억하세요 - Netts Energy Market에서는 지금 바로 모든 공급자의 가격을 확인하고 가장 저렴한 조건으로 TRON Energy를 대여할 수 있습니다.