법률회사 단호경고: SIM 스왑 공격, T-Mobile 예방 실패

글의 순서

SIM 스왑이 무엇이고, 왜 기업이 신경 써야 하는가

SIM 스왑(교체) 사기는 다시 유행 중에 있습니다.

스마트폰 하나로 모든 인증과 금융 활동이 가능한 시대입니다. 하지만, 그 스마트폰의 '전화번호'가 범죄자의 손에 떨어진다면 어떻게 될까요?

SIM 스왑 공격은 해커가 피해자의 전화번호를 자신이 통제하는 SIM 카드로 이전해, 문자 인증이나 전화 인증을 가로채는 사이버 범죄 수법입니다. 이는 단순한 개인 정보 유출을 넘어 암호화폐, 은행 자산, 소셜미디어 계정 탈취까지 이어질 수 있습니다.

T-Mobile처럼 거대 통신사가 연루된 사례도 늘고 있습니다. 실제로 로스앤젤레스의 법무법인 Greenberg Glusker는 피해자 Joseph “Josh” Jones를 대신해 3300만 달러의 중재 판결을 이끌어 냈습니다. 그의 전화번호는 T-Mobile 직원의 부주의로 인해 공격자가 통제하는 SIM 카드로 이전됐고, 이 과정에서 1,500 BTC와 60,000 BCH가 탈취되었습니다.

SIM 스왑 공격의 정의와 방법

**SIM 스왑 공격(SIM Swapping)**은 휴대전화의 **유심칩(SIM)**이 갖는 고유 인증 기능을 악용한 해킹 수법입니다. 공격자는 다음과 같은 방식으로 범행을 실행합니다:

피해자의 이름, 생년월일, 주소 등 개인정보를 피싱 이메일, 소셜 미디어, 사회공학 등으로 수집
통신사에 피해자로 위장해 연락 후, SIM 카드를 분실했다고 주장하며 새 SIM 발급 요청
통신사 내부 직원을 매수하거나, 위조 신분증 등을 동원해 본인 인증을 위조
전화번호가 이관되면 즉시 인증 문자, 전화 수신, 2FA 메시지 등을 도용하여 계정 탈취 시도

피해자는 휴대폰이 손에 있음에도 갑작스런 네트워크 끊김, 문자 수신 불가, 통화 불능 현상을 겪게 됩니다.

SIM 스왑 공격의 주요 경로는 다음과 같습니다:

문자 기반 이중 인증(2FA) 우회
암호 재설정 링크 수신 후 계정 탈취(E-mail, SNS, 은행 등)
스마트폰 기반 암호화폐 지갑까지 직접 해킹

이런 글은 어때요? 👉 아마존 파이어 HD 8(2024) 조기 할인 행사

이 사건들에서 공통적으로 보이는 문제는 대부분, 문자 기반 인증 시스템의 보안 취약점입니다.

SIM 스왑 공격의 사례

실제 사례는 더욱 충격적입니다.

T-Mobile 사태 (2020):
위에서 언급한 Joseph Jones 사태는 단 한 번의 통신사 경유 SIM 전환으로 수백억 원 상당의 암호화폐 자산이 사라졌습니다.
미국 SEC(증권거래위원회) 트위터 해킹 (2024):
SIM 스왑을 통해 SEC의 X(구 트위터) 계정이 해킹되었고, 비트코인 ETF 승인이라는 가짜 뉴스가 올라가 시장 혼란을 일으켰습니다.
이로 인해 비트코인 가격은 약 10% 급등 후 급락, 수천만 달러 규모의 자산이 청산되었습니다.
FTX 거래소 해킹 (2022):
SIM 스왑 공격으로 4억 달러 규모의 암호화폐가 유출된 사건으로, 국제 범죄조직이 관련되어 최소 6건 이상의 유사 공격을 감행했습니다.
유명 유튜버·인플루언서 계정 탈취:
SNS 계정이 심 스와핑을 통해 탈취되고 가짜 광고에 활용됨으로써 수많은 팔로워들이 사기를 당한 사례도 다수 발생했습니다.

SIM 스왑에 대한 방어 방법

SIM 스왑 공격은 사전 차단이 어렵다는 점에서 위험합니다. 하지만 아래의 보안 조치를 통해 대부분의 시도를 예방할 수 있습니다:

문자 기반 2FA 대신 인증 앱 사용
- ex: Google Authenticator, Authy, Microsoft Authenticator
FIDO U2F 기반 보안키 활용
- ex: YubiKey 같은 하드웨어 보안 장치
이동통신사 계정에 PIN 설정 및 SIM 변경 시 추가 인증 활성화
계정 활동 모니터링 알림 설정
다양한 계정에 동일한 비밀번호 사용 금지
비밀번호 관리자 이용해 고유하고 복잡한 암호 사용
SNS에 전화번호 공개 금지
피싱 링크, 이메일, 문자 클릭 주의

SIM 스왑 방지 관련 기능 비교:

보안 조치	설명	장점
인증 앱 사용	문자 대신 앱에서 인증 코드 생성	번호 탈취 시에도 인증 우회 불가
FIDO U2F 보안키	물리 키가 있어야 인증 가능	강력한 인증 방식, 피싱 무력화 가능
통신사 계정 PIN 설정	유심 변경 전 별도 확인 절차 필요	무단 SIM 변경 방지
eSIM 사용	물리 SIM 제거, 물리적 조작 방지 가능	SIM 교체 자체를 어렵게 만듦